Aksi Warp Panda: Eksploitasi Celah Zero-Day VMware ESX untuk Menghapus Jejak Audit

Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) secara resmi telah menambahkan sebuah celah keamanan yang menyerang produk Broadcom VMware ESX ke dalam katalog Known Exploited Vulnerabilities (KEV). Langkah ini diambil setelah perusahaan keamanan siber CrowdStrike mengungkap bahwa kerentanan tersebut telah dieksploitasi secara aktif oleh aktor ancaman terkait Tiongkok, yang dikenal sebagai Warp Panda.

Celah keamanan yang dilacak sebagai CVE-2026-41709 (skor CVSS 2.7) ini merupakan jenis kerentanan pencatatan yang tidak memadai (insufficient logging). Meskipun skor keparahannya terbilang rendah, celah ini sangat berbahaya karena memungkinkan penyerang dengan akses administrator untuk menjalankan berbagai operasi tanpa meninggalkan jejak di log sistem.

Modus Operandi Warp Panda

Berdasarkan laporan 2026 Legal Threat Landscape Report dari CrowdStrike, kelompok Warp Panda mengeksploitasi CVE-2026-41709 sebagai zero-day pada awal tahun 2026. Target utama mereka adalah sektor hukum di Amerika Serikat. Tujuannya jelas: mengeksekusi aksi tanpa terdeteksi oleh sistem audit.

Warp Panda (juga dilacak dengan nama Armory Castle, Clay Typhoon, atau VerdantBamboo) dikenal memiliki rekam jejak panjang dalam mengeksploitasi zero-day pada perangkat edge yang menghadap internet, seperti Citrix NetScaler dan Ivanti Connect Secure. Dalam aksinya, mereka menembus perangkat tersebut untuk mendapatkan akses awal, kemudian bergerak lateral menuju lingkungan VMware vCenter.

Di dalam vCenter, mereka menanam malware khusus seperti BRICKSTORM dan SharpStorm untuk mempertahankan akses persisten secara senyap. Selain itu, mereka juga mencuri token sesi cloud untuk membobol lingkungan Microsoft 365 tanpa memicu peringatan kredensial. Dalam beberapa kasus, Warp Panda bahkan mendaftarkan perangkat Multi-Factor Authentication (MFA) palsu pada akun korban, sehingga akses mereka tetap aman meskipun korban mengganti kata sandi.

Pentingnya Sektor Hukum sebagai Target

Menurut CrowdStrike, sektor hukum menjadi target bernilai tinggi karena menyimpan konsentrasi komunikasi klien, dokumen merger dan akuisisi (M&A), strategi litigasi aktif, serta akses lintas klien. Data semacam ini sangat berharga bagi aktor spionase siber yang disponsori negara untuk mendapatkan intelijen strategis.

Perbaikan dan Instruksi CISA

Broadcom sendiri telah merilis pembaruan untuk menambal celah ini pada Juli 2026 lalu. Perbaikan telah tersedia untuk VMware Cloud Foundation, vSphere Foundation, VMware ESX (ESXi80U3j-25429389), dan VMware Telco Cloud Platform.

Menyikapi eksploitasi aktif ini, CISA mewajibkan seluruh instansi di bawah naungan Federal Civilian Executive Branch (FCEB) untuk segera menerapkan pembaruan tersebut. Batas waktu yang diberikan adalah 11 November 2026. Kelalaian dalam menambal kerentanan ini akan membuka pintu bagi penyerang untuk bersembunyi di dalam infrastruktur kritis tanpa terdeteksi.