趨勢新聞TREND NEWS
資料中心機櫃走道，兩側是一排排伺服器
示意圖，與本則提到的單位無關。Carl Lender 攝，CC BY 2.0，Wikimedia Commons。
資安VMwareCISA KEV

VMware ESXi 低分漏洞 CVE-2026-41709 已遭利用：有管理員權限的人能做某些操作不留紀錄，原廠 7 月已修；同一份公告的 vCenter 9.8 分漏洞 8 月就列入清單

趨勢新聞2026 年 10 月 29 日

VMware ESXi 是把一台實體伺服器切成很多台「虛擬機」的軟體，公司的 ERP、檔案伺服器、網站常跑在虛擬機上；vCenter 是集中管理多台 ESXi 的主控台。美國網路安全暨基礎設施安全局（CISA）10 月 28 日（美國時間）把 ESXi 的漏洞 CVE-2026-41709 列入「已遭利用漏洞目錄」，CISA 的描述是它「可能讓具管理員權限的惡意人士執行某些操作而不被記錄」（本站譯）。這個漏洞嚴重度只有 2.7 分（滿分 10），原廠 Broadcom 7 月 29 日已在公告 VMSA-2026-0006 修好。本站的讀法：它不是讓人闖進來的門，是讓已有管理員權限的人做的部分事情不留紀錄，出事後要查「誰做了什麼」會更難。用 VMware 虛擬化的公司，請 IT 或維護廠商確認 ESXi 與 vCenter 都已各自更新。

我會不會受影響？

  • 公司機房或代管主機用 VMware ESXi：早於下面列的修補版就在範圍內。Broadcom 的問答文件寫：「如果不確定系統是否受影響，就假定它有漏洞，並立即行動」（本站譯）。
  • 用 VMware Cloud Foundation 5.x、Telco Cloud 或整合式設備（例如 Dell VxRail）：照各自的修補流程，或問設備廠商。
  • 一般上班族、消費者：不管 ESXi 就不必為這個漏洞做什麼（本站的讀法）。同一份公告另修了個人電腦用的 VMware Workstation、Fusion 25H2 的漏洞，有裝的請更新到 26H1。

名詞：KEV 目錄只收有證據顯示已被拿來攻擊的漏洞；CVSS 是 0 到 10 的嚴重度分數；「記錄不足」指該留的操作紀錄（日誌）沒留。

只有 2.7 分，為什麼還被列入

低分的原因之一是門檻高：攻擊者要先有 ESXi 管理員權限；CVSS 也把它對資料外洩與服務中斷的直接影響評為「無」，對資料完整性評為「低」。Broadcom 的公告寫：「惡意的管理員可以利用這個問題執行某些操作，而這些操作不會被記錄」（本站譯）。

NVD 保存的 CISA 評估（7 月 30 日）把利用狀態標為「無」，CVE 紀錄裡 10 月 28 日的評估改為「active」（正被利用）；這是評估日，不是攻擊開始日。Broadcom 問答文件（反映 8 月 19 日公告版本）仍寫沒有已遭利用的資訊。「某些操作」是哪些、誰在利用、權限從哪裡來，本站讀到的公告與 CISA 條目都沒寫，勒索軟體欄填「未知」。

同一份公告的 vCenter 漏洞：9.8 分，已知用於勒索攻擊

VMSA-2026-0006 修了 5 個漏洞。vCenter 的 CVE-2026-59310（9.8 分），能連到 vCenter 的攻擊者就可能執行任意程式，CISA 8 月 18 日已列入目錄，勒索軟體欄寫「已知」，當時期限 8 月 21 日並要求鑑識初判（檢查是否已被入侵）。另有可繞過 vCenter 登入的 CVE-2026-59309（9.8 分）、讓 VMXNET3 網卡虛擬機的管理員能在實體主機執行程式的 CVE-2026-47876（9.3 分），兩者不在 10 月 28 日版目錄裡。本站的讀法：vCenter 若還沒修、又連得到，59310 應優先處理。

怎麼修，期限給誰

Broadcom 沒有提供替代修補的暫時做法（workaround），正式修法是裝修補版；修補是累積的，更新的版本也算，但 ESXi 與 vCenter 要分別更新。這次的 CVE-2026-41709，ESXi 8.0 要到 8.0 U3j 以上，9.0 要到 9.0.2.0100，9.1 要到 9.1.0.0（組建 25370933）；要一併修掉 47876，8.0 要到 U3k、9.1 要到 9.1.0.0200。vCenter 是 8.0 U3k（或 U2f）、9.0.2.0100 或 9.1.0.0300。ESXi 8.0 U2f 只修重大等級漏洞，修不到這次的。

vSphere 7.0 已在 2025 年 10 月 2 日結束一般支援，有延長支援才能要修補；更舊版本要假定受影響。先查原廠相容性對照表（含 vSAN）；先修 ESXi 的，重啟 vCenter 前要等主機修補完成或停止。一般更新要重開主機（符合條件可評估 Live Patch），可用 vMotion 把虛擬機搬走再輪流重開，不能搬的要排關機。這批 8.0、9.0 修補裝完暫時無法升級到 VCF 9.x。

11 月 11 日的期限依 CISA 指令 BOD 26-04 訂定，直接約束美國聯邦文職行政部門機關，機關也要逐台評估是否對外曝露；台灣企業一般不受約束，承接美國聯邦系統的廠商要看採購合約。這筆的鑑識欄為「否」。

原文 KEV 條目 CVE-2026-41709與 CVE-2026-59310，漏洞描述、列入日期、處理期限、鑑識欄與勒索軟體欄取自 CISA 的 KEV JSON 資料檔（2026.10.28 版；本站在全目錄查過，59309、47876、41703 未列入）。導言譯文的原句是“could allow a malicious actor with admin access to perform certain operations without being logged”； CISA 警示（2026-10-28），列入公告取自此頁； BOD 26-04，約束對象與鑑識初判的定義取自此頁； Broadcom 公告 VMSA-2026-0006.2（2026-07-29 發布，08-19 更新），五個漏洞的分數、說明、修補版本與 Workarounds 欄取自此頁，「惡意的管理員」一句原文是“A malicious administrator could exploit this issue to perform certain operations without them being logged.”； Broadcom 的 VMSA-2026-0006 問答文件，受影響範圍、利用狀態、Workstation 與 Fusion、7.0 與舊版、VCF 5.x 與整合式設備、相容性、重開主機與升級限制取自此處，「假定它有漏洞」一句原文是“presume it is vulnerable and take action immediately”； CVE-2026-41709 紀錄與 NVD 頁面，CVSS 向量與 CISA 利用狀態評估的時間取自此處。