适用对象：运行VMware ESX（ESXi）或vCenter的人，包括只有几台主机的小型团队，以及管理托管或私有云平台的任何人。本文基于Broadcom的公告VMSA-2026-0006、CISA的目录数据、NVD记录以及一家安全公司的报告。不涉及攻击步骤或利用代码。
事件仍在发展：随着更多信息公布，本页将持续更新
截至2026年10月30日尚不清楚
- 该漏洞让管理员能够隐藏哪些操作（Broadcom未给出细节）
- 除安全公司的报告外，有多少组织受到影响
- CISA或Broadcom是否会公布更多关于利用的信息
Broadcom于2026年7月29日发布了VMSA-2026-0006及修复。CISA于10月28日（美国时间）将CVE-2026-41709加入其KEV目录，截止日期为11月11日，并未给出关于利用的细节。
入口：vCenter（CVE-2026-59309 / 59310）
认证绕过、代码执行。修复：更新vCenter
ESX主机上的管理员权限
查看账户、访问设置、虚拟机
隐藏：ESX日志（CVE-2026-41709）
某些操作不被记录。修复：更新ESX；把日志保存在别处
今天应该做什么
列出您的ESX和vCenter版本
记下每台主机的构建号和vCenter版本。将它们与下表中的修复版本进行比较。由服务提供商管理的主机或硬件厂商捆绑的主机，需要该方确认。
针对整份公告规划更新
CISA给美国联邦机构的截止日期是11月11日。请同时应用ESX修复和vCenter修复，而不是只更新ESX。vCenter漏洞的评级为9.8，其中一个在8月就已被列为已被利用。
将日志发送到另一台服务器
将ESXi syslog和vCenter syslog设置为转发到一台虚拟机管理程序管理员无法编辑的日志服务器。这无法捕获该漏洞所隐藏的操作，但可以保护周围的记录不被删除，并让缺失的时段变得可见（本站的观点）。
不依赖主机日志来检查是否被入侵
检查每台主机和vCenter上存在哪些账户、SSH或shell是否已启用以及由谁启用、您不认识的虚拟机、您没有安装的软件包，以及来自管理网络、您无法解释的连接。将vCenter的任务和事件历史与主机自身的日志进行比较，查找缺口。如果发现任何问题，请将主机和vCenter视为已被入侵，并参见如何检查网站或服务器是否被入侵。
限制谁能访问管理界面
没有变通方案，因此请让ESX和vCenter的管理界面不暴露在互联网上，仅可从专用管理网络访问，并在可用的情况下用多重验证加以保护。
修复版本
| 产品线 | CVE-2026-41709的修复版本 |
|---|---|
| ESX 9.1 | ESXi-9.1.0.0-25370933 |
| ESX 9.0 | ESXi-9.0.2.0100-25595025 |
| ESX 8.0 | ESXi80U3j-25429389（update 3j） |
| VMware Cloud Foundation 5.x | 5.2.4 |
| Telco Cloud Platform 5.0.x和5.1.x | KB449886 |
公告和NVD记录中，该CVE下均未列出ESX 7.0。Broadcom确实为同一公告中的严重级别漏洞列出了7.0的指引，需要延长支持合同，因此如果您运行7.0，请咨询Broadcom支持。
同一公告还修复了以下漏洞。您所用版本线的构建号请以公告本身为准。
| CVE | 产品 | 问题 | CVSS | 修复（示例） |
|---|---|---|---|---|
| CVE-2026-59309 | vCenter | 认证绕过 | 9.8 | 9.1.0.0300、9.0.2.0100、8.0 U3k |
| CVE-2026-59310 | vCenter | syslog服务器中的目录遍历，可能导致代码执行 | 9.8 | 相同的vCenter构建。自8月18日起列入CISA KEV |
| CVE-2026-47876 | ESX | VMXNET3网络适配器中的越界写入，需要虚拟机上的本地管理员权限 | 9.3 | ESXi-9.1.0.0200-25557999、ESXi-9.0.2.0100-25595025、ESXi80U3k-25595708 |
| CVE-2026-41703 | ESX | 越界读取，需要虚拟机部署权限 | 7.6 | ESXi-9.1.0.0-25370933、ESXi-9.0.2.0100-25595025、ESXi80U3i-25205845 |
请注意，修复CVE-2026-41709的ESX 8.0构建（update 3j）与修复CVE-2026-47876的构建（update 3k）并不相同。升级到您所用版本线中列出的最新构建，是覆盖所有漏洞最简单的方法，但请对照公告逐个确认每个CVE（本站的观点）。对于8.0 U2f，公告为CVE-2026-47876列出了单独的构建（ESXi80U2f-25626445），但并未将其作为CVE-2026-41709的修复，因此如果您运行U2f，请查看公告。此外，Broadcom的文字与一个计算器链接对CVE-2026-47876的CVSS向量说法不一致。
披露了什么
- CVE
- CVE-2026-41709，见Broadcom公告VMSA-2026-0006
- 类型
- 日志记录不足（CISA目录中为CWE-778）
- 严重程度
- CVSS v3.1 2.7，低危（网络、需要高权限、低完整性影响）。分数来自作为CVE来源的Broadcom
- 影响
- 恶意管理员可以执行某些操作而不被记录。Broadcom没有说明是哪些操作
- 受影响
- ESX 9.1、9.0和8.0；低于5.2.4的VMware Cloud Foundation 9.x和5.x；vSphere Foundation 9.x；Telco Cloud Platform 5.0.x和5.1.x
- 已修复
- 见上表。公告日期为2026年7月29日；NVD记录发布于7月30日。没有变通方案
- 报告者
- Broadcom致谢了一家安全公司的一名研究人员
- 已知被利用
- 于2026年10月28日（美国时间）以“Broadcom VMWare ESX Insufficient Logging Vulnerability”为名加入CISA的KEV目录。截止日期为11月11日。是否被勒索软件利用：未知。目录条目未将取证分类标记为必需
公告细节很少，本站查阅的来源中也未公开具体是哪些操作。以下是本站的解读，而不是厂商的声明：由于该漏洞需要管理员权限，它是入侵之后使用的工具，对攻击者的价值在于主机上的记录可能不完整。
利用情况
CISA的目录确认了利用，但没有给出关于受影响对象或方式的细节。一家安全公司关于法律行业的2026年威胁报告（SecurityWeek于10月29日报道）称，一个与中国有关联的组织在对美国多个组织（包括法律行业目标）的入侵中，将该漏洞作为零日漏洞使用，最晚到2026年初，SecurityWeek将其目的描述为降低审计痕迹的可见性。该报告涵盖2025年9月至2026年8月的活动。Broadcom致谢的是同一家公司的一名研究人员报告了该漏洞。本站尚未核实该报告的数据，也不评估这些活动的幕后是谁。请将其视为一家公司的说法。
对防御者来说，实际的要点是时间。该公司描述的使用最晚到2026年初，比7月29日的修复早了几个月。在修补之前攻击者可访问的主机，即使现在已是最新状态，也可能已受影响（本站的观点）。如果您的主机或vCenter在那段时间暴露在互联网或不受信任的网络上，请对其进行检查，而不要只是打补丁。
尚不清楚的信息
| 项目 | 状态 |
|---|---|
| 哪些操作不被记录 | Broadcom未说明 |
| 有多少组织受到影响 | 仅有安全公司的说法；未经核实 |
| 是否被勒索软件利用 | CISA列为未知 |
| ESX 7.0 | 该CVE下未列出；公告中的严重级别漏洞另有7.0指引 |
信息来源
2026年10月30日查看（Broadcom公告修订版.2、CISA目录数据、NVD记录）。
- Broadcom，《VMSA-2026-0006》（修订版.2，2026年8月19日更新）— support.broadcom.com
- CISA，已知被利用漏洞目录（CVE-2026-41709条目，2026年10月28日加入；以及CVE-2026-59310条目，2026年8月18日加入）— cisa.gov
- NVD，《CVE-2026-41709》— nvd.nist.gov
- 一家安全公司的2026年法律行业威胁态势报告（博客摘要，英文）— 报告页面
- SecurityWeek，《Chinese Hackers Quietly Used Low-Severity ESXi Logging Flaw as Zero-Day》（2026年10月29日）— securityweek.com
更新记录
2026-10-30：首版，基于Broadcom的VMSA-2026-0006（修订版.2）、CISA于10月28日的KEV列入以及NVD记录。
延伸阅读
- 分数与列入情况不一致时如何决定优先级：决定先修补什么：CVSS、EPSS和KEV
- 本月其他被利用的边界设备：被利用的边界设备漏洞，2026年10月中旬
- 检查服务器：如何检查网站或服务器是否被入侵
- 漏洞公布时：CVE修复手册
- 术语：什么是CVSS