CISA は2026年10月28日、Broadcom のハイパーバイザー VMware ESX の脆弱性 CVE-2026-41709 を「既知の悪用された脆弱性（KEV）」カタログに追加しました。Help Net Security によると、米連邦民間機関は2026年11月11日までに対応する必要があります。
脆弱性の内容：Broadcom はこれをログ記録の不備と説明しており、悪意のある管理者が一部の操作をログに残さずに実行できる可能性があります。この脆弱性だけではアクセス権は得られず、攻撃者は事前に管理者権限を持っている必要があるため、Broadcom の評価はLow（CVSS 2.7）にとどまります。修正はアドバイザリ VMSA-2026-0006（初版 2026年7月29日）で提供済みで、報告者は CrowdStrike の Ian Barton 氏、回避策はありません。
悪用した攻撃者：CrowdStrike は10月28日に公開したレポートで、中国系グループ Warp Panda がこの ESXi コマンドのログ回避の脆弱性を、複数の事例で「2026年初めまで」ゼロデイとして悪用したとしています。標的は法律分野を含む米国の組織で、被害組織の vCenter 環境に複数のマルウェアを展開しました。Help Net Security は、このグループが通常インターネットに公開されたエッジ機器から侵入して vCenter に移動すると報じ、マルウェア名として BRICKSTORM と SharpStorm を挙げています。この CVE に関する侵害の痕跡（IoC）は公開されていません。
注意すべき理由：スコアが低くてもリスクが低いとは限りません。ハイパーバイザー上の操作が監査ログに残らなければ、侵害後の調査が大きく困難になります。同じアドバイザリでは、CVSS 9.8 の vCenter の脆弱性2件（CVE-2026-59309、CVE-2026-59310）や CVSS 9.3 の ESX VMXNET3 の脆弱性（CVE-2026-47876）など、深刻な脆弱性も修正されています。
