ESXi: el 2,7 que vam deixar de cinquè era un dia zero

Noranta dies exactes. El 30 de juliol vam publicar un triatge del butlletí de VMware i vam deixar CVE-2026-41709 el cinquè de cinc, perquè és el que puntua: 2,7 sobre 10. Li vam dedicar la seva pròpia secció i el vam anomenar «la fallada que ningú no mirarà»; el que no vam fer va ser moure'l de lloc a la llista. El 28 d'octubre CISA el va ficar al seu catàleg de vulnerabilitats explotades. Un actor l'estava fent servir com a dia zero.

Aquest post no va de dir «ja ho vam avisar». Va del contrari: de les dues coses que vam escriure aleshores i que la dada d'octubre obliga a corregir. Si només vols la part accionable, salta a l'entregable del final; són sis comprovacions i cap consisteix a pedaçar.

Què ha passat en noranta dies

Quatre dates i d'on surt cadascuna:

Per què un número baix no mesura la teva capacitat de reconstruir després què va passar ja és a el que vam escriure el 30 de juliol i no ho repetirem aquí. El que aquell post no podia saber és el que ve ara.

Correcció 1: la finestra dubtosa no comença a la data de l'avís

Al juliol vam donar una regla curta: pedaçar, marcar el període de registres anterior al pedaç com a poc fiable i no acceptar un «no s'hi veu res estrany» d'aquell període com a revisió neta. La regla continua sent bona —vam dir «anterior al pedaç», sense data d'inici—, però no vam dir en veu alta el que ara cal dir: aquella finestra tampoc no comença quan el fabricant publica. Nosaltres la vam deixar oberta; molta gent la tanca per la data de l'avís.

Un dia zero és, per definició, explotació anterior a l'avís. CrowdStrike situa l'ús d'aquest CVE «as late as early 2026» dins d'intrusions d'un informe el període d'observació del qual arrenca l'1 de setembre del 2025. Siguem precisos amb el que això permet afirmar i el que no: l'informe no publica una data d'inici per a l'explotació d'aquest CVE en concret. El que sí que queda clar és que el butlletí de juliol no acota res cap enrere. Si escrius un informe dient «revisat el període des de la publicació de l'avís», estàs acotant per la data equivocada.

Ja ens va passar amb un altre dels CVE d'aquell mateix butlletí: «sense explotació coneguda» va durar cinc dies des que es va publicar. La diferència és d'escala. Allà el desfasament es comptava en dies; aquí, en el millor dels casos, en mesos.

Correcció 2: treure els registres de la caixa no ho arregla

Fa onze dies vam escriure que els registres han de sortir de la caixa, perquè el registre que viu dins de l'aparell compromès és l'evidència menys fiable. Ho mantenim, i a més aquí no serveix de res.

Syslog remot, SIEM, emmagatzematge immutable, signatura d'esdeveniments: tot això protegeix el transport i la custòdia d'un esdeveniment que primer ha d'existir. La descripció de CISA és inequívoca sobre on passa la cosa: «perform certain operations without being logged». No és un esborrat. És una no-escriptura.

I aquesta distinció canvia la investigació sencera. Un esborrat deixa rastre: forats de minuts, numeració de seqüència que salta, un volum diari que cau. Tot això es detecta. Una operació que mai es va escriure deixa un registre coherent, continu i complet a la vista. No hi ha anomalia a buscar, perquè no falta res: mai no hi va ser. És la diferència entre una pàgina arrencada i una pàgina en blanc.

I aquí cal frenar: el text diu «certain operations», no «totes». Ningú no ha publicat quines. Això acota el dany i, alhora, impedeix dir quina part del teu registre val.

Per què va trigar noranta dies (i per què tornarà a passar)

El catàleg de CISA es diu, literalment, «vulnerabilitats explotades conegudes». Conèixer exigeix evidència. I l'evidència d'aquesta fallada és justament el que la fallada impedeix generar. No sortiria del SIEM de ningú: va sortir de l'informe d'un proveïdor de resposta a incidents que llegia memòria i disc en víctimes reals, no quadres de comandament.

D'aquí la tesi: si la teva política de pedaçat es mou pel que hi ha al catàleg, aquesta família de fallades t'arribarà sempre l'última, no per descuit sinó per construcció. Les fallades de registre són les que més triguen a demostrar-se explotades precisament perquè el seu efecte és que no es demostri res.

Hi ha un detall que ho il·lustra bé. CISA va donar d'alta dos CVE el mateix 28 d'octubre. Al d'ESX li va posar termini l'11 de novembre: catorze dies. A l'altre, una fallada del nucli de Linux encadenable per plantar webshells i executar com a root, li va posar el 31 d'octubre: tres dies. Els terminis surten de la taula de la directiva BOD 26-04, del 10 de juny del 2026, construïda sobre els mateixos factors SSVC que CISA anota a cada fitxa. I tots dos estan marcats igual en gairebé tot —explotació «active», automatitzable «no»—: l'únic que els separa és l'impacte tècnic, «partial» en el d'ESX i «total» en el del nucli. Aquella casella són onze dies de diferència.

I que quedi dit: el 2,7 no està mal posat. CVSS mesura el que mesura, i per entrar per aquesta fallada cal ser ja administrador (PR:H). El que falla és tenir una sola cua de treball i ordenar-la per aquest número.

El que gairebé ningú ha de fer ara és pedaçar

I ara la part rara. L'arranjament d'aquest CVE venia al mateix butlletí de juliol que els dos 9,8 i la fuga de VM. De fet, la fitxa de CISA apunta a aquella mateixa referència del portal de Broadcom. Qui va aplicar aquell avís ja el va corregir, sense saber-ho, fa tres mesos. Amb una excepció que no és menor: l'avís es va revisar dues vegades —els pedaços exprés d'ESX i vCenter 8.0 U2f van arribar el 3 d'agost i la guia per al 7.0 el 19—, de manera que «juliol» no és la mateixa data per a tots els teus hosts. D'aquí la primera comprovació.

Així que l'alta al catàleg no et crea una tasca de pedaçat. Et crea una tasca d'evidència, que és la que ningú té al procés. El nostre flux de pedaços és ple d'«aplicat / pendent» i buit de «què va deixar de ser cert quan això va sortir a la llum». Això s'arregla al comitè, no a la finestra de manteniment.

Conflicte d'interès per endavant: el comitè mensual que ve ara és un servei que facturem. És, literalment, el que fem al Programa RID: un comitè mensual amb responsable i data on es revisen riscos oberts i, també, els tancats que han canviat de significat. La part de detecció i resposta la cobreix la ciberseguretat gestionada. Ho diem sense adorns: això no es compra amb una eina, se sosté amb una reunió que algú convoca cada mes.

Sis comprovacions, cap és pedaçar

Abans que algú ho expliqui malament en una reunió

Perquè la versió alarmista d'això també circula, i no s'aguanta:

• Per utilitzar-lo cal ser administrador abans (PR:H), de manera que no és una porta d'entrada. Si ningú no va assolir aquest nivell als teus hosts, això no t'ha passat. Compte amb com ho comproves: això no ho demostra el registre del mateix ESX, que és justament el que aquí no val. Ho demostra el segon testimoni.
• No apaga el teu registre. «Certain operations», diu el text. La resta se segueix escrivint.
• No és una campanya massiva. CISA l'anota com a no automatitzable i sense ús conegut en ransomware. El documentat per a aquest CVE és espionatge dirigit contra entitats dels Estats Units, amb el sector legal entre els objectius. L'actor, però, opera també contra el Japó, Taiwan i Corea del Sud: l'absència en un informe no és absència al món.
• No és urgent pedaçar si ja vas aplicar el butlletí de juliol. Si no el vas aplicar, el teu problema no és aquest CVE: són els altres quatre del mateix lot.

L'expedient que algú va signar al juliol

Un butlletí es tanca el dia que s'aplica el pedaç i, a partir d'aquí, ningú no hi torna. Noranta dies després algú publica el que faltava i l'expedient que donàvem per tancat diu una altra cosa. Si tens vCenter i ESX en producció i aquell expedient el va signar algú al juliol, escriu-nos i el repassem junts.

Fonts (verificades el 30 d'octubre del 2026): la puntuació 2,7, el vector CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N, la classificació CWE-778, la data de publicació (30-07-2026) i el registre SSVC de CISA del 28-10-2026 (active / no / partial) surten de la fitxa de CVE-2026-41709 a NVD, consultada per API. El títol oficial, la descripció («perform certain operations without being logged»), l'alta el 28-10-2026, el termini de l'11-11-2026 i la marca de ransomware «Unknown» surten del catàleg KEV de CISA, fitxer descarregat i llegit per nosaltres. La citació de l'explotació com a dia zero, l'actor WARP PANDA, el camí (dispositius de vora a vCenter) i el període d'observació 01-09-2025 a 31-08-2026 són de l'informe del sector legal 2026 de CrowdStrike (28-10-2026). El termini de tres dies del segon CVE del mateix dia (CVE-2026-46300, nucli de Linux) i el seu encadenament per plantar webshells i executar com a root són a la seva pròpia fitxa del catàleg. La taula de terminis i la seva construcció sobre factors SSVC són de la directiva BOD 26-04 (10-06-2026), la Taula 1 de la qual està publicada com a imatge: per això no citem literalment la correspondència entre casella i termini, encara que els dos terminis i els quatre factors SSVC sí que estan publicats. Les dates de revisió de l'avís de juliol (versió .1 del 03-08-2026 i .2 del 19-08-2026) són del registre de canvis del mateix avís de Broadcom. Els noranta dies, la distinció entre pàgina arrencada i pàgina en blanc, la tesi sobre per què aquesta família de fallades arriba sempre l'última al catàleg, les dues correccions dels nostres propis posts i les sis comprovacions són aritmètica i lectura nostres.