CVE-2026-41709：一個 CVSS 2.7 卻被列入 KEV 的漏洞，因為它會抹除證據

CVE-2026-41709 是 Broadcom 的 VMware ESX 中一個日誌記錄不足的漏洞；照漏洞管理的一般算法，它本不該有任何影響。CVSS 分數為 2.7。它不賦予任何程式碼執行能力，不跨越任何權限邊界，也無法讓攻擊者做到任何只要不被察覺就原本做不到的事。2026 年 10 月 28 日，CISA 仍將其列入「已知遭利用漏洞」（Known Exploited Vulnerabilities）清單，與一個 9.8 分的 Linux 核心漏洞並列，因為一個與中國有關聯的團體已將其當作零日漏洞利用了數個月。

那組配對中的教訓值得吸取：嚴重性評分衡量的是影響，而影響並不等同於後果。一個悄然讓你無法重建事件經過的漏洞，對入侵者而言，比一個使服務崩潰的漏洞更有價值。

缺陷是什麼

此安全公告編號為 VMSA-2026-0006，於 2026 年 7 月 30 日發布，內含五個 CVE，其中包括此一漏洞。此缺陷在於 ESX 未能記錄防禦人員預期會在稽核軌跡中發現的某些事件——其 CWE 為 778，日誌記錄不足。此漏洞沒有利用原語、沒有記憶體損毀，也沒有明顯的攻擊載荷。其影響在於，在 Hypervisor 上執行的動作所留下的證據，比營運人員以為的還要少。

這就是為什麼分數是 2.7。這也是為什麼修復方案是一次版本升級，而許多組織已將其擱置了三個月。

它是如何被使用的

《Security Week》的報導描述，一個被追蹤為 Warp Panda 的中國相關組織，如何在包括美國律師事務所遭入侵的事件中，悄悄把該漏洞當作零時差漏洞使用。其目的並非持久化，也非橫向移動——而是要降低稽核軌跡的可見度，使那些確實達成上述目的的活動更難被察覺。

新加坡 IMDA 的公告指出，同一個叢集與一個名為 BRICKSTORM 的後門有關，該後門是透過 vCenter 和 ESXi 部署的。把這兩個事實並列來看，其運作邏輯就很清楚：Hypervisor 是虛擬機器所在之處，虛擬機器是證據所在之處，而當客體系統遭駭時，Hypervisor 自身的日誌是調查人員最後能求助的地方。先把它關掉，之後的一切就會安靜得多。

對律師事務所而言，這一點的價值並非抽象空談。客戶案件、案件檔案與受保密特權保護的通訊，全都存放在基礎設施上，而這些設施的日誌留存正是保密整體環節的一部分。一場會抹除自身紀錄的入侵事件，會把原本可主動揭露的事件，變成你必須從二手來源重建的事件。

為什麼低嚴重度的日誌記錄缺陷不斷被列入 KEV

KEV 目錄常被解讀為最危險漏洞的清單。它更接近於一份已觀察到攻擊者實際利用的漏洞清單，而這兩份清單正是在這個方向上出現分歧。

• 服務崩潰時聲響很大；日誌少了一筆記錄時卻悄然無聲。

• 嚴重性模型會衡量受影響系統的機密性、完整性與可用性。它們不會衡量防禦者進行調查的能力，而這正是入侵者最想奪走的東西。

• 修復成本低廉，風險卻只是被延後，於是修補工作便一路拖延——而在 2.7 上拖上三個月，正是大多數環境的常態。

這與我們本週報導過的 LiteLLM 事件形態相同：在該事件中，發布管線的稽核紀錄被第三個遭竊的憑證刪除。在這兩起事件裡，攻擊者最後的動作都不是竊取某物，而是移除「某物已被取走」的紀錄。

在自己的莊園該檢查什麼

• 對照 VMSA-2026-0006 檢查 Hypervisor 版本。該公告共彙整五個 CVE；只修補其中三個並不算是修正。

• 遠端日誌轉送。終止於主機上的 ESXi 日誌記錄，是攻擊者可以移除的日誌。將日誌轉送到 hypervisor 信任邊界之外的系統，正是讓這個缺口得以承受的關鍵。

• 保留期限與時鐘準確度。日誌只留存七天，時鐘又會漂移，這兩者都會讓原本完整的軌跡變得毫無用處。

• 誰可以變更日誌記錄設定。如果答案是「任何擁有 Hypervisor 管理員權限的人」，那麼這項控制措施屬於架構性，而非程序性。

AI 這個角度，正是這件事會出現在這個部落格的原因

代理現在運作於生產環境中與 hypervisor 相鄰的領域：它們在主機上的容器中執行、呼叫工具、持有憑證；而當它們行為不當時，任何人第一個會去找的產物就是日誌。因此，日誌記錄不足的缺陷，就是你可能需要說明的每一起代理事件中證據鏈的缺陷——而這正是 OrcaRouter AI Incident Archive 存在所要彌補的：它將事件依據原始來源建立索引，而不是依據主機上殘留下來的任何東西。

這裡還有第二個更實務的優勢。讓代理行為可稽核的控制措施——包含等級、模型、延遲與成本的請求日誌；每次呼叫的收據；具範圍限制且各自有預算的金鑰——其效果取決於它們所落地的儲存庫。如果儲存庫位於已遭入侵的信任邊界內，那麼這項控制措施就只是形式。外部錨定的日誌並非可有可無的點綴。

OrcaRouter 的請求日誌會記錄每一次呼叫的等級、模型、延遲與成本，並附上可複製為 cURL 的收據；平台的權杖治理也讓具範圍限定的金鑰擁有各自的限額與撤銷機制。這無法阻止 hypervisor 的日誌記錄錯誤；但它確實意味著代理的活動會有一份紀錄，而這份紀錄不依賴主機對自身歷史是否誠實。

看什麼

Broadcom 是否公布哪些特定事件類別未被記錄。該公告描述的是缺陷的類別，而非清單；而清單才能告訴營運人員哪些調查無法回溯信賴。在清單公布之前，安全的假設是受影響的期間介於七月公告與十月披露之間，且你在該期間調查的任何事項都可能存在缺口。

另一件要留意的事，是 2.7 是否會成為模板。一個唯一效果就是蒙蔽防禦者的漏洞，正是入侵者會不斷選擇的漏洞；而一個持續把它評為低分的評分系統，正是他們能指望你降低其優先級的那種系統。

資料來源說明：10 月 28 日的 KEV 新增項目，以及目錄中該條目的標題，來自 CISA 當日的警示。VMSA-2026-0006 公告日期、五個 CVE 的組合，以及日誌記錄不足的分類（CWE-778），來自 Broadcom 的公告。2.7 的分數來自已發布的 CVE 記錄。Warp Panda 的歸因、以美國律師事務所為目標，以及零日漏洞的利用，來自 Security Week 的報導；BRICKSTORM 後門的關聯則來自 IMDA 的公告。OrcaRouter 的日誌記錄、權杖治理與事件封存說明，是我們自家的產品文件。