2.7 分。放在一堆 9 分开头的洞里，这分数基本没人会多看一眼。可 10 月 28 号，CISA 把它加进了 KEV——也就是「已知被在野利用」那份名单。
CVE-2026-41709，出在 Broadcom VMware ESX 上。按 Broadcom 7 月那份公告的说法，问题是「日志记录不足」：一个有管理员权限的人，可以做某些操作而不被记进日志。评分只有 2.7，是因为想用它，你得先有 admin——这前提本身就够重了。它不帮你打进去，它帮你的是：进去之后，少留痕迹。
真正让 CISA 动手的，是 CrowdStrike 的那份披露——这个洞被一个跟中国有关的威胁组织（他们叫它 Warp Panda）拿去用过，靶子是美国的律所。少了这一截审计记录，事后回溯就断了线：查不到谁在什么时候动了什么。所以它分数虽低，还是被塞进了 KEV，而进了 KEV，就意味着美国联邦机构得在期限内处置。一条才 2.7 分的洞进 KEV，信号其实挺清楚：在 APT 的链子里，「让你看不见」比「让你进不来」更值钱。
影响版本：Broadcom 7 月公告发布前、没打上对应补丁的 VMware ESX / ESXi / vSphere / Cloud Foundation 等产品线。
修复版本：Broadcom 7 月公告里点名的那几个 build——例如 ESXi 到 ESXi-9.0.2.0100-25595025、老分支 ESXi80U3j-25429389，Cloud Foundation 5.2.4 等（以公告里对应产品线的 build 为准）。
一条自查：在 ESXi 上跑 esxcli system version get，把输出的 Version / Build 跟公告里的修复 build 对一下，对不上就是没修。
ESXi 这种东西升级，谁升谁知道：要进维护模式、要挪虚机、要跟业务约窗口，不是随手能重启的。所以「分数低」经常被拿来当拖的理由——反正才 2.7 分嘛。可这回提醒的是另一件事：判断一个洞急不急，不能只看它能不能进来，还得看它进来之后能不能被看见。审计链断一截，后面真出点什么事，你连复盘的材料都凑不齐。
分低不代表能拖，这种教训我们写过不止一次：CISA 把 Nextcloud 插件的洞拉进 KEV 那次也是，「已经在被利用」这几个字，比 CVSS 分数更该当回事。还有 Atlassian 那个 9.3 分、不用登录就能读走配置的洞，也是补法不复杂、但拖不起的那类。补丁在公告里躺着，升不升是人的事——这次只是把「不升的代价」换了个说法。
原始来源：The Hacker News《China-Linked Hackers Exploited VMware ESX Zero-Day to Reduce Audit Trail Visibility》：https://thehackernews.com/2026/10/china-linked-hackers-exploited-vmware.html
评论