兩項已遭利用漏洞牽涉 Linux 核心及 VMware ESX
美國網絡安全及基礎設施安全局（CISA）把兩項漏洞加入已遭利用漏洞目錄（KEV）：Linux 核心的 CVE-2026-46300（Fragnesia），以及 VMware ESX 的 CVE-2026-41709。iThome 報道指出，CISA 掌握兩者正被積極利用的證據。
事件牽涉自建 Linux server、虛擬化叢集及代管基礎設施的營運者。惟現有資料未列出受影響版本、修補版本、攻擊技術細節或公開受害個案，因此不能據此推斷攻擊者身分、入侵規模，亦不宜把所有 Linux 或 ESX 部署一概視為已受影響。
兩個漏洞的已知資訊
iThome 指出，CVE-2026-46300 與 Linux 核心中特定變數未初始化有關；CVE-2026-41709 則涉及 VMware ESX 的事件記錄不足。兩者被收錄進 KEV 的重點，在於已有實際利用證據，而非單純研究人員披露的潛在風險。
CISA 為美國聯邦機構訂下不同處理期限：CVE-2026-46300 須於 10 月 31 日前完成修補，CVE-2026-41709 的期限則為 11 月 11 日。這些日期是 CISA 對其聯邦機構的要求，並非香港企業或機構的法定期限；不過，時限差異可作為處理優先次序的參考訊號。
管理員可先做甚麼
在未確認官方受影響範圍前，較穩妥的做法是先把資產資料補齊：
- 列出運行 Linux 的 server、雲端工作負載及關鍵服務，記錄實際運行中的核心版本。
- 盤點 VMware ESX 主機及其管理範圍，核對產品與版本資料。
- 追查兩個 CVE 是否已出現在內部漏洞掃描、資產管理或供應商支援紀錄中。
- 依 Linux 核心及 VMware／Broadcom 的官方安全公告確認受影響版本、可用修補與緩解措施，再按服務重要性安排測試和部署。
這個流程的價值在於把「已遭利用」的外部警報轉成可驗證的內部清單。對同時管理大量 Linux 工作負載和虛擬化平台的團隊而言，先確認版本與資產擁有者，通常比立即作出未經核實的廣泛變更更有助降低營運風險。
下一步值得留意的是 Linux 核心及 VMware／Broadcom 是否發布更完整的受影響範圍與修補指引，以及 KEV 是否出現更多與兩個漏洞相關的資訊。
延伸閱讀
AI 輔助說明： 本文由 AI 協助整理，並經兩輪獨立自動品質審核；資料及連結仍以原始來源為準。
參考來源
- iThome — Linux核心、VMware ESX漏洞遭積極利用 — original report
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
