أضافت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) يوم الأربعاء ثغرة تمس منتج برودكوم VMware ESX إلى كتالوج الثغرات المستغلة المعروفة، بعد أن كشفت شركة كراودسترايك أن جهة تهديد صينية الارتباط تعرف باسم وارب باندا استخدمتها في هجمات استهدفت قطاع المحاماة الأمريكي. وتحمل الثغرة الرقم CVE-2026-41709، وبلغت درجة خطورتها 2.7 وفق مقياس CVSS، وهي حالة قصور في تسجيل الأحداث تتيح لمن يملك صلاحيات إدارية تنفيذ عمليات معينة دون أن تُدوَّن في السجلات.
وكانت برودكوم قد أعلنت في نشرة أمنية صدرت في يوليو 2026 أنها عالجت المشكلة في عدة إصدارات، هي VMware Cloud Foundation وVMware vSphere Foundation بالإصدارين SXi-9.1.0.0-25370933 وESXi-9.0.2.0100-25595025، وVMware ESX بالإصدار ESXi80U3j-25429389، وVMware Cloud Foundation 5.2.4، وVMware Telco Cloud Platform بالإصدار ESXi80U3j-25429389.
تقرير كراودسترايك يكشف استغلال الثغرة كيوم صفر
جاء هذا التطور بعد تقرير كراودسترايك عن مشهد التهديدات في القطاع القانوني لعام 2026، الذي بيّن أن وارب باندا استغلت الثغرة كثغرة يوم صفر مطلع عام 2026 بهدف تقليص أثر سجلات التدقيق. وقالت الشركة في التقرير الذي شاركته مع موقع ذا هاكر نيوز إن المجموعة تستغل أجهزة الحافة المتصلة بالإنترنت عبر ثغرات يوم الصفر وبرمجيات خبيثة مخصصة للحفاظ على وصول سري ومستمر، وإنها تتحايل بنشاط على الكشف بتجاوز تسجيل التدقيق وسرقة رموز جلسات السحابة وتسجيل أجهزة مصادقة متعددة العوامل (MFA) غير مشروعة.
من هي وارب باندا؟
تُعرف المجموعة أيضا بأسماء أرموري كاسل (يونك 5221 سابقا) وكلاي تايفون وفيردانت بامبو، ولها سجل طويل في استغلال ثغرات يوم الصفر في أجهزة سيتريكس نت سكيلر وإيفانتي كونكت سيكيور. وفي وقت سابق من الشهر الجاري، نسبت شركة مانديانت، التابعة لجوجل، إلى المجموعة استغلال ثغرة حرجة في التحقق من المصدر داخل منتج بيوند تراست للدعم عن بعد، تحمل الرقم CVE-2026-102764 وبدرجة خطورة 9.3، لتوصيل عائلات برمجيات خبيثة مثل SAWFLY وBARECLAW.
كيف تنفذ المجموعة هجماتها؟
تعتمد الهجمات على استغلال أجهزة الحافة المتصلة بالإنترنت للحصول على وصول أولي، ثم تنتقل المجموعة إلى بيئات VMware vCenter لنشر برمجيات خبيثة مخصصة مثل BRICKSTORM وSharpStorm للحفاظ على وصول دائم دون لفت الانتباه. وشملت بعض عمليات الاختراق استهداف الخدمات السحابية لاستخراج رموز جلسات المستخدمين للوصول إلى بيئات مايكروسوفت 365 دون إثارة تنبيهات مرتبطة ببيانات الاعتماد. وفي حالة واحدة على الأقل، يُعتقد أن المجموعة سجلت جهاز مصادقة جديدا على حساب مخترق لتأمين وصول مستمر حتى لو تغيرت كلمة المرور.
لماذا يستهدف المهاجمون القطاع القانوني؟
قالت كراودسترايك إن وارب باندا تمثل تهديدا تجسسيا صينيا مستمرا وذا تركيز استراتيجي على كيانات أمريكية في قطاعات عدة، بينها القطاع القانوني. وأوضحت أن تركز مراسلات العملاء ووثائق الاندماج والاستحواذ واستراتيجيات القضايا الجارية والوصول المشترك بين العملاء في هذا القطاع يجعله هدفا عالي القيمة لجهة مدعومة من دولة تسعى إلى معلومات ذات فائدة تشغيلية لاحقة. وبسبب الاستغلال الفعلي للثغرة، أوصت CISA الوكالات الفيدرالية المدنية التنفيذية بتطبيق الإصلاحات بحلول 11 نوفمبر 2026.
