2026-11-01 02:10:26 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

VMware ESX 日志绕过，在野利用已进 KEV CVE-2026-41709

红队安全圈
红队安全圈

红队安全圈

2026年10月29日 08:28
重庆

去阅读

CVSS 只有 2.7 的洞进了 KEV：它不拿权限，它让 ESXi 上的操作不留日志——WARP PANDA 已经在真实入侵里用过。

01 引言

昨天（10 月 28 日），CISA 把 Broadcom VMware ESX 的日志缺失漏洞 CVE-2026-41709 加进 KEV 已知在野利用目录，限期 11 月 11 日前处置。这个洞 CVSS 只有 2.7，但恰恰是被国家级组织在真实入侵里用过的零日——它不直接拿权限，它的价值是让管理员在 ESXi 上执行的操作不进日志，帮攻击者在宿主机上隐身。如果你的环境里有 ESXi，这篇值得看完。

02 漏洞速览

漏洞编号CVE-2026-41709

漏洞类型CWE-778 日志记录缺失

危害等级Low，CVSS 2.7

是否在野是，已进 CISA KEV（10-28）

公开 PoC无，细节未披露

攻击前提需已持有 ESXi 管理员权限

受影响的是 VMware ESX 组件；vCenter Server、Workstation、Fusion 不在这个洞的受影响组件里。一句话影响面：拿到 ESXi 管理员权限的攻击者，可以执行部分操作而不被记录。

03 漏洞成因

根因是 ESX 的日志记录逻辑没有覆盖全部敏感操作：某些管理操作执行后不会写入本地日志。换句话说是审计盲区，不是内存破坏类的经典漏洞。厂商和研究方都没有公开具体是哪些操作、绕过怎么实现，这里不做编造——但方向很明确：攻击者拿到 ESXi 管理员权限后，用这个盲区执行命令可以绕开本地审计，给溯源制造断点。

CVSS 2.7 是因为在厂商评分模型里它只是完整性轻微损失。但在真实入侵链里，它的价值被放大了：vSphere 是企业核心基础设施，攻击者可以用它掩盖虚拟机逃逸、后门虚拟机、快照窃取等动作。

04 影响范围

受影响并已修复的版本线：ESXi 8.0U3j-25429389、9.0.2.0100-25595025、9.1.0.0-25370933；Cloud Foundation 5.x 修复于 5.2.4，Telco Cloud Platform 5.0.x/5.1.x 见 KB449886。

注意三点：vCenter Server 不是该漏洞的受影响组件；ESXi 7.0 不在修复矩阵内（旧版本用户要评估升级路径）；Workstation 和 Fusion 不受影响。

05 危害推演（无公开利用详情）

没有 PoC，按成因推演一条攻击路径：攻击者先进 vCenter 或某台 ESXi（凭据复用、另一个洞、或供应链入口），拿到管理员权限后，利用日志盲区执行敏感操作——比如创建带后门的虚拟机、修改防火墙规则、导出 vmdk 磁盘文件——这些动作本地日志里找不到，只有开了远程 syslog 的环境才能在远端留痕。事后清理阶段，攻击者甚至可以针对本地日志做文章，让应急响应时看到的日志是干净的。

CrowdStrike 的报告点名：中国背景组织 WARP PANDA 在针对美国实体的入侵中（包括法律行业）把恶意软件部署进了 vCenter 环境，并在部分案例中把这套 ESXi 命令日志绕过当零日用到 2026 年初。典型的低评分、高战术价值漏洞用法。

06 检测与排查

一条命令确认主机版本是否在修复线以下，对照第 04 节的 build 号：

esxcli system version get

再检查日志转发配置——这是这个漏洞最关键的缓解手段：

esxcli system syslog config get

如果没配远程 syslog，本地日志又可能被绕过，等于蓝队完全失明。另外，排查 2026 年初至今 ESXi 管理面操作日志有没有异常登录与可疑命令痕迹；本地日志不完整的时段本身就是需要人工复核的信号。

07 修复建议

升级补丁：尽快升到对应修复版本（8.0U3j / 9.0.2.0100 / 9.1.0.0 / VCF 5.2.4），补丁是累积的，直接装最新累积补丁即可。

日志外发：无条件把 ESXi 日志转发到远端 syslog 服务器，并与本地日志做交叉核对——比升级更快见效的缓解。

收敛权限：收紧 ESXi 管理员权限，管理面不暴露公网，启用锁定模式（Lockdown Mode）限制直接 host 访问。

厂商明确没有临时缓解措施（Workaround: None），升级是唯一根治方案。

08 红队视角

这是个评分体系失灵的典型样本：CVSS 2.7 的洞进了 KEV，说明官方评估也开始承认审计盲区在攻击链里的实际价值。红队视角下这类洞的用法很清晰——它不解决怎么进去，解决进去之后怎么不被看到，和 shell 命令混淆、日志清空是同一族手法，CrowdStrike 8 月那篇 ESX 命令混淆威胁狩猎的思路值得蓝队直接照着做检测。

对防守方的真正提醒：不要只按 CVSS 排修复优先级。凡是 KEV 里出现且需要管理员权限的漏洞，说明有组织在真实环境里持有这类权限，你的凭据管理、横向隔离和管理面暴露面才是要回头自查的部分。