Ngày 28/10/2026, CISA đã thêm CVE-2026-41709 — lỗ hổng trong hypervisor VMware ESX của Broadcom — vào danh mục Lỗ hổng bị khai thác (KEV). Theo Help Net Security, các cơ quan dân sự liên bang Mỹ phải khắc phục trước ngày 11/11/2026.
Bản chất lỗi: Broadcom mô tả đây là lỗi ghi log không đầy đủ: một quản trị viên có ý đồ xấu có thể thực hiện một số thao tác mà không bị ghi lại. Lỗi không tự cấp quyền truy cập — kẻ tấn công phải có sẵn quyền admin — nên Broadcom chỉ xếp mức Thấp (CVSS 2.7). Lỗi được vá trong bản tin VMSA-2026-0006, công bố lần đầu ngày 29/07/2026; Broadcom ghi nhận Ian Barton (CrowdStrike) đã báo cáo, và không có biện pháp tạm thời nào.
Ai đã khai thác: Trong báo cáo công bố ngày 28/10, CrowdStrike cho biết nhóm Warp Panda có liên hệ với Trung Quốc đã khai thác lỗi bỏ qua ghi log lệnh ESXi này dưới dạng zero-day trong nhiều vụ, gần nhất "vào đầu năm 2026", nhắm vào các tổ chức tại Mỹ, trong đó có ngành pháp lý, và đã cài nhiều loại mã độc vào môi trường vCenter của nạn nhân. Help Net Security cho biết nhóm này thường xâm nhập qua thiết bị biên kết nối Internet rồi chuyển sang vCenter, và nêu tên mã độc là BRICKSTORM và SharpStorm. Chưa có dấu hiệu nhận biết xâm nhập (IoC) nào được công bố cho CVE này.
Vì sao đáng chú ý: điểm thấp không có nghĩa là rủi ro thấp. Lỗi cho phép kẻ xâm nhập thao tác trên hypervisor mà không để lại dấu vết khiến việc điều tra về sau khó hơn nhiều. Cùng bản tin của Broadcom còn vá các lỗi nghiêm trọng, gồm hai lỗi vCenter điểm 9.8 (CVE-2026-59309, CVE-2026-59310) và lỗi VMXNET3 trên ESX điểm 9.3 (CVE-2026-47876).
