一句话先说清：两个漏洞同一周被披露，性质完全不同
2026 年 10 月底接连披露两个高关注漏洞：VMware ESX 的日志漏洞 CVE-2026-41709 在 10 月 28 日进了 CISA KEV，CVSS 只有 2.7，却是已被利用的“擦痕迹”漏洞；Drupal Commerce 的授权绕过 CVE-2026-118539 被 Drupal 定为高度危（21/25 分），Drupal 已确认正在被利用。本文只讲防御：影响范围、修复版本与自查步骤，不涉及任何利用细节。
VMware CVE-2026-41709：低分，但已被利用的日志缺口
这是 VMware ESX 中的日志记录不足漏洞（CWE-778）。前提是攻击者已经拿到管理员权限，利用这个缺口让某些操作不被记录下来，等于事后擦痕迹。它本身不给入侵入口、也不给管理员权限，CVSS 3.1 只有 2.7。CrowdStrike 报告说，与中国有关的 Warp Panda 组织（又名 Armory Castle、UNC5221）在 2026 年初就把它当零日用过，针对的是美国法律行业目标。具体哪些操作会逃过记录，公开来源里没有披露。
VMware 修复版本
Broadcom 早在 7 月 29 日的 VMSA-2026-0006 里就修了，修复版本包括 ESXi80U3j-25429389、ESXi-9.0.2.0100-25595025、ESXi-9.1.0.0-25370933，以及对应的 Cloud Foundation、vSphere Foundation 与 Telco Cloud Platform 版本。KEV 里 11 月 11 日的期限只针对美国联邦机构；CISA 标注的勒索关联是未知。
Drupal CVE-2026-118539：缺少授权校验的访问绕过
这是 Drupal Commerce Core 模块的缺少授权校验漏洞（CWE-862）。特定请求能绕过访问控制、查看或改动部分非公开数据，对开店的商家可能造成直接经济损失。受影响的是 2.x 在 2.41 之前、3.x 在 3.3.13 之前的版本。Drupal 在 10 月 28 日发布补丁：3.x 升 3.3.13，老版本线升 8.x-2.41，并建议商家核查订单有没有异常。据 10 月 18 日的统计，约 4.2 万个站点在用这个模块，其中 3 万多个在受影响版本。具体是哪些路由和字段受影响，公开来源没有细说。
注意不要把两者混淆：Drupal 已确认这个漏洞正在被利用，但在我们核查的公开记录中，KEV 里没有它的条目；VMware 那个才是 KEV 条目。
自查清单
- 管 VMware ESX 的：对照上文核对所在分支的构建号是否达到修复版本；检查审计日志是否有无法解释的空白段，空白本身就是线索。
- 管 Drupal Commerce 的：先确认 Commerce Core 版本，3.x 低于 3.3.13 或 2.x 低于 2.41 的立即升级；升级后按 Drupal 的建议核查订单异常，包括金额、状态与优惠相关的不一致记录。
- 托管用户注意：托管建站与云平台一般由平台统一修复，到平台公告里确认状态即可。
最后澄清一个常见误读：KEV 里的期限只针对美国联邦机构，不是所有用户的统一期限；但“已被实际利用”这个定性本身，就是立即升级的理由。