資安指南

#漏洞 #CVE-2026-41709 #VMware #ESXi #vCenter #日誌 #伺服器

VMware ESX CVE-2026-41709（CVSS 2.7）：CISA 將這項低風險日誌漏洞列為已遭利用；請修補整份 VMSA-2026-0006 並檢查主機

VMware ESX CVE-2026-41709 是一個低風險日誌漏洞（CVSS 2.7），CISA 於10月28日將其加入已遭利用漏洞清單。ESX 修復版本、VMSA-2026-0006 中的其他漏洞，以及如何檢查日誌可能不完整的主機。

發布於 2026-10-30 更新於 2026-10-30 最後核實 2026-10-30 閱讀時間 4 分鐘

本頁內容

適用對象：執行 VMware ESX（ESXi）或 vCenter 的人，包括只有幾台主機的小型團隊，以及管理代管或私有雲平台的任何人。本文根據 Broadcom 的公告 VMSA-2026-0006、CISA 的目錄資料、NVD 記錄以及一家資安公司的報告撰寫。不涵蓋攻擊步驟或利用程式碼。

請修補整份公告對應的 ESX 與 vCenter，把主機日誌傳送到別處，並且不要只相信日誌

這裡的低分並不意味著低風險。該漏洞讓擁有管理員權限的人可以在主機上行動而不留下通常的日誌記錄，因此看起來安靜的主機未必是乾淨的。更可能的入口是同一公告中的其他漏洞（本站的觀點）。

將 ESX 更新到您所用版本線的修復版本，並在同一個維護時段內針對 CVE-2026-59309 與 CVE-2026-59310 更新 vCenter
將 ESXi 與 vCenter 日誌傳送到另一台日誌伺服器，這樣主機上的日誌缺口可以從外部被發現
檢查主機與 vCenter 是否有入侵跡象，而不只是看日誌：帳號、遠端存取設定、不熟悉的虛擬機器
沒有因應方案，因此限制誰能存取管理網路是唯一的暫時措施

進行中：隨著更多資訊公布，本頁將持續更新

截至2026年10月30日

尚不清楚

該漏洞讓管理員能夠隱藏哪些操作（Broadcom 未給出細節）
除資安公司的報告外，有多少組織受到影響
CISA 或 Broadcom 是否會公布更多關於利用的資訊

Broadcom 於2026年7月29日發布了 VMSA-2026-0006 及修復。CISA 於10月28日（美國時間）將 CVE-2026-41709 加入其 KEV 目錄，期限為11月11日，並未給出關於利用的細節。

入口：vCenter（CVE-2026-59309 / 59310）

驗證繞過、程式碼執行。修復：更新 vCenter

ESX 主機上的管理員權限

查看帳號、存取設定、虛擬機器

隱藏：ESX 日誌（CVE-2026-41709）

某些操作不被記錄。修復：更新 ESX；把日誌保存在別處

VMSA-2026-0006 中每個漏洞在攻擊中所處的位置。日誌漏洞並不打開大門；它隱藏之後發生的事情（本站的歸納）。

今天應該做什麼

列出您的 ESX 與 vCenter 版本

記下每台主機的組建編號與 vCenter 版本。將它們與下表中的修復版本進行比較。由服務供應商管理的主機或硬體廠商捆綁的主機，需要該方確認。

針對整份公告規劃更新

CISA 給美國聯邦機構的期限是11月11日。請同時套用 ESX 修復與 vCenter 修復，而不是只更新 ESX。vCenter 漏洞的評級為 9.8，其中一個在8月就已被列為已遭利用。

將日誌傳送到另一台伺服器

將 ESXi syslog 與 vCenter syslog 設定為轉送到一台虛擬機器管理程式管理員無法編輯的日誌伺服器。這無法擷取該漏洞所隱藏的操作，但可以保護周圍的紀錄不被刪除，並讓缺失的時段變得可見（本站的觀點）。

不依賴主機日誌來檢查是否遭入侵

檢查每台主機與 vCenter 上存在哪些帳號、SSH 或 shell 是否已啟用以及由誰啟用、您不認識的虛擬機器、您沒有安裝的軟體套件，以及來自管理網路、您無法解釋的連線。將 vCenter 的工作與事件歷程與主機自身的日誌進行比較，尋找缺口。如果發現任何問題，請將主機與 vCenter 視為已遭入侵，並參見如何檢查網站或伺服器是否遭入侵。

限制誰能存取管理介面

沒有因應方案，因此請讓 ESX 與 vCenter 的管理介面不暴露在網際網路上，僅可從專用管理網路存取，並在可用的情況下用多重驗證加以保護。

修復版本

2.7

CVSS v3.1（Broadcom；低風險）

管理員

需要先擁有管理員權限

10月28日列入

CISA KEV（期限11月11日）

無

因應方案

產品線	CVE-2026-41709 的修復版本
ESX 9.1	ESXi-9.1.0.0-25370933
ESX 9.0	ESXi-9.0.2.0100-25595025
ESX 8.0	ESXi80U3j-25429389（update 3j）
VMware Cloud Foundation 5.x	5.2.4
Telco Cloud Platform 5.0.x 與 5.1.x	KB449886

公告與 NVD 記錄中，該 CVE 下均未列出 ESX 7.0。Broadcom 確實為同一公告中的嚴重等級漏洞列出了 7.0 的指引，需要延長支援合約，因此若您執行 7.0，請諮詢 Broadcom 支援。

同一公告還修復了以下漏洞。您所用版本線的組建編號請以公告本身為準。

CVE	產品	問題	CVSS	修復（範例）
CVE-2026-59309	vCenter	驗證繞過	9.8	9.1.0.0300、9.0.2.0100、8.0 U3k
CVE-2026-59310	vCenter	syslog 伺服器中的目錄遍歷，可能導致程式碼執行	9.8	相同的 vCenter 組建。自8月18日起列入 CISA KEV
CVE-2026-47876	ESX	VMXNET3 網路介面卡中的越界寫入，需要虛擬機器上的本機管理員權限	9.3	ESXi-9.1.0.0200-25557999、ESXi-9.0.2.0100-25595025、ESXi80U3k-25595708
CVE-2026-41703	ESX	越界讀取，需要虛擬機器部署權限	7.6	ESXi-9.1.0.0-25370933、ESXi-9.0.2.0100-25595025、ESXi80U3i-25205845

請注意，修復 CVE-2026-41709 的 ESX 8.0 組建（update 3j）與修復 CVE-2026-47876 的組建（update 3k）並不相同。升級到您所用版本線中列出的最新組建，是涵蓋所有漏洞最簡單的方法，但請對照公告逐個確認每個 CVE（本站的觀點）。對於 8.0 U2f，公告為 CVE-2026-47876 列出了單獨的組建（ESXi80U2f-25626445），但並未將其作為 CVE-2026-41709 的修復，因此若您執行 U2f，請查看公告。此外，Broadcom 的文字與一個計算器連結對 CVE-2026-47876 的 CVSS 向量說法不一致。

揭露了什麼

VMware ESX 中的日誌記錄不足（CVE-2026-41709）

CVE: CVE-2026-41709，見 Broadcom 公告 VMSA-2026-0006
類型: 日誌記錄不足（CISA 目錄中為 CWE-778）
嚴重程度: CVSS v3.1 2.7，低風險（網路、需要高權限、低完整性影響）。分數來自作為 CVE 來源的 Broadcom
影響: 惡意管理員可以執行某些操作而不被記錄。Broadcom 沒有說明是哪些操作
受影響: ESX 9.1、9.0 與 8.0；低於 5.2.4 的 VMware Cloud Foundation 9.x 與 5.x；vSphere Foundation 9.x；Telco Cloud Platform 5.0.x 與 5.1.x
已修復: 見上表。公告日期為2026年7月29日；NVD 記錄發布於7月30日。沒有因應方案
通報者: Broadcom 致謝了一家資安公司的一名研究人員
已知遭利用: 於2026年10月28日（美國時間）以「Broadcom VMWare ESX Insufficient Logging Vulnerability」為名加入 CISA 的 KEV 目錄。期限為11月11日。是否被勒索軟體利用：未知。目錄條目未將鑑識分流標記為必要

公告細節很少，本站查閱的來源中也未公開具體是哪些操作。以下是本站的解讀，而不是廠商的聲明：由於該漏洞需要管理員權限，它是入侵之後使用的工具，對攻擊者的價值在於主機上的紀錄可能不完整。

利用情況

CISA 的目錄確認了利用，但沒有給出關於受影響對象或方式的細節。一家資安公司關於法律產業的2026年威脅報告（SecurityWeek 於10月29日報導）稱，一個與中國有關聯的組織在對美國多個組織（包括法律產業目標）的入侵中，將該漏洞作為零時差漏洞使用，最晚到2026年初，SecurityWeek 將其目的描述為降低稽核軌跡的可見性。該報告涵蓋2025年9月至2026年8月的活動。Broadcom 致謝的是同一家公司的一名研究人員通報了該漏洞。本站尚未查證該報告的資料，也不評估這些活動的幕後是誰。請將其視為一家公司的說法。

對防禦者來說，實際的要點是時間。該公司描述的使用最晚到2026年初，比7月29日的修復早了幾個月。在修補之前攻擊者可存取的主機，即使現在已是最新狀態，也可能已受影響（本站的觀點）。如果您的主機或 vCenter 在那段時間暴露在網際網路或不受信任的網路上，請對其進行檢查，而不要只是打補丁。

尚不清楚的資訊

項目	狀態
哪些操作不被記錄	Broadcom 未說明
有多少組織受到影響	僅有資安公司的說法；未經查證
是否被勒索軟體利用	CISA 列為未知
ESX 7.0	該 CVE 下未列出；公告中的嚴重等級漏洞另有 7.0 指引

資料來源

2026年10月30日查看（Broadcom 公告修訂版 .2、CISA 目錄資料、NVD 記錄）。

Broadcom，《VMSA-2026-0006》（修訂版 .2，2026年8月19日更新）— support.broadcom.com
CISA，已知遭利用漏洞目錄（CVE-2026-41709 條目，2026年10月28日加入；以及 CVE-2026-59310 條目，2026年8月18日加入）— cisa.gov
NVD，《CVE-2026-41709》— nvd.nist.gov
一家資安公司的2026年法律產業威脅態勢報告（部落格摘要，英文）— 報告頁面
SecurityWeek，《Chinese Hackers Quietly Used Low-Severity ESXi Logging Flaw as Zero-Day》（2026年10月29日）— securityweek.com

更新紀錄

2026-10-30：初版，根據 Broadcom 的 VMSA-2026-0006（修訂版 .2）、CISA 於10月28日的 KEV 列入以及 NVD 記錄。

FAQ

QCVE-2026-41709 是什麼？

VMware ESX（執行虛擬機器的虛擬機器管理程式）中的日誌記錄不足漏洞。Broadcom 表示，惡意管理員可以執行某些操作而不被記錄。由於攻擊者需要已經擁有管理員權限，且該漏洞本身不提供存取或控制權，其評級為 CVSS 2.7（低風險）。

Q為什麼 CVSS 2.7 的漏洞也很重要？

CVSS 評估的是孤立的漏洞。入侵之後，如果攻擊者可以在不留下日誌記錄的情況下行動，入侵就更難被發現與還原。CISA 已於2026年10月28日將其加入已遭利用漏洞目錄，因此無論分數多少，都應將其視為已遭利用。

Q哪些版本已修復？

Broadcom 列出：9.1 為 ESXi-9.1.0.0-25370933，9.0 為 ESXi-9.0.2.0100-25595025，8.0 為 ESXi80U3j-25429389（update 3j），VMware Cloud Foundation 5.2.4，以及 Telco Cloud Platform 5.0.x 與 5.1.x（透過 KB449886）。沒有因應方案。

QESX 7.0 是否受影響？

公告與 NVD 記錄列出的該 CVE 受影響版本為 ESX 9.1、9.0 與 8.0。7.0 未在該 CVE 下列出。公告確實為其嚴重等級的漏洞提供了 7.0 的指引，但這需要延長支援合約，因此若您仍在執行 7.0，請向 Broadcom 確認。

Q我也需要修補 vCenter 嗎？

需要。同一公告 VMSA-2026-0006 還修復了兩個評級為 9.8 的 vCenter 漏洞（CVE-2026-59309，驗證繞過；以及 CVE-2026-59310，可導致程式碼執行的目錄遍歷）。CISA 已於2026年8月18日將 CVE-2026-59310 列為已遭利用。這些是可以充當入口的漏洞，而 CVE-2026-41709 則隱藏了之後發生的事情（本站的歸納）。

Q如果日誌可能不完整，我如何檢查自己是否中招？

不要只依賴主機日誌。將其與傳送到另一台日誌伺服器的副本以及 vCenter 自己的紀錄進行比較，並檢查主機本身：啟用了哪些帳號與 SSH 或 shell 存取、不熟悉的虛擬機器、您沒有新增的已安裝套件，以及來自管理網路的異常連線。如有任何異常，請將該主機視為已遭入侵。