安全性公告

我們不時會發布與 Google Cloud VMware Engine 相關的安全性公告，您可以在這裡找到所有 VMware Engine 安全性公告的相關說明。

使用這個 XML 動態饋給訂閱此頁面的安全公告。 訂閱

GCP-2026-029

發布日期：2026-05-07

說明

說明 嚴重性 附註

Microsoft 將更新 2011 年發行的安全啟動憑證，確保 Windows 裝置能繼續驗證可信任的啟動軟體。這些舊憑證將於 2026 年 6 月開始到期。如果裝置尚未收到 2023 年的新憑證，仍可正常啟動及運作，並繼續安裝標準 Windows 更新。不過，這些裝置將無法再接收早期啟動程序的全新安全防護措施，包括 Windows 開機管理員、安全啟動資料庫、撤銷清單的更新，或是新發現的開機層級安全漏洞的緩解措施。此外，自 2026 年 6 月起，安全啟動憑證到期也會影響使用安全啟動的 Linux 系統。

該怎麼辦？

Google 建議客戶採取 Microsoft 建議的適當行動，更新 Windows VM。Ubuntu、Red Hat 和 Fedora 等發行版本已著手提供以 2023 年新金鑰簽署的更新套件。如要解決 VMware 虛擬機器中因安全啟動憑證即將到期而發生的錯誤和警告，請參閱 Broadcom 說明文件。2026 年 6 月後，如果系統未更新 2023 年的憑證，可能會在安裝新作業系統或更新現有開機載入程式韌體時發生錯誤。

 參考用 Broadcom 知識庫 423893

GCP-2026-028

發布日期：2026-05-05

說明

說明 嚴重性 附註

CVE-2026-31431 (又稱「Copy Fail」) 是 Linux 核心中的高嚴重程度本機提權 (LPE) 安全漏洞，可讓沒有權限的使用者取得根存取權。這項漏洞於 2026 年 4 月底揭露，起因是 2017 年導入核心密碼編譯子系統 (algif_aead) 時發生的邏輯錯誤。

該怎麼辦？

Google 建議客戶更新所有 Linux VM 的核心，保護 Linux 客戶 VM。主要發行版本已發布或正在推出修正程式。

 高 CVE-2026-31431

GCP-2025-054

發布日期：2025-10-14

說明

說明 嚴重性 附註

根據 VMware 安全性諮詢 VMSA-2025-0015，VMware Aria Operations 和 VMware Tools 中有多項安全漏洞已私下回報給 Broadcom。Broadcom 已提供修補程式，可修正受影響產品中的這些安全漏洞。

我該怎麼做？

建議您升級至 VMware Aria Automation 8.18.5 和 VMware Tools 13.0.5。

 重要事項

GCP-2025-040

發布日期： 2025-07-15

說明

說明 嚴重性 附註

根據 VMSA-2025-0013 諮詢，VMware ESXi 中的多個安全漏洞已私下向 Broadcom 回報。

我們已修補這些安全漏洞，或正在套用 Broadcom 提供的必要修補程式。目前沒有已知的解決方法。

修補完成後，VMware Engine 部署作業應會執行 ESXi 7.0U3w 或 ESXi 8.0U3f 以上版本。

該怎麼辦？

Google 建議客戶監控 VMware Engine 上的工作負載，查看是否有任何異常活動。

 中度至重大

GCP-2025-030

發布日期： 2025-05-23

說明 嚴重性 附註

根據 VMware 安全性諮詢 VMSA-2024-0017，有人向 VMware 私下回報 VMware Aria Automation 的 SQL 注入漏洞。VMware 已提供修補程式，可修復受影響產品中的這項安全漏洞。

該怎麼辦？

建議您升級至 VMware Aria Automation KB325790。

重要事項

GCP-2025-029

發布日期： 2025-05-23

說明 嚴重性 附註

根據 VMware 安全性諮詢 VMSA-2025-0006，VMware Aria Operations 中的本機提權漏洞已向 VMware 負責地回報。VMware 已提供修補程式，可修復受影響產品中的這項安全漏洞。

該怎麼辦？

建議升級至 VMware Aria Operations 8.18 HF5。

重要事項

GCP-2025-028

發布日期： 2025-05-23

說明 嚴重性 附註

根據 VMware 安全性諮詢 VMSA-2025-0003，VMware Aria Operations for Logs 和 VMware Aria Operations 中有多項安全漏洞已私下回報給 VMware。VMware 已提供修補程式，可修復受影響產品中的這項安全漏洞。

該怎麼辦？

建議您將 VMware Aria Operations for Logs 升級至 8.18.3 版，並將 VMware Aria Operations 升級至 8.18.3 版。

重要事項

GCP-2025-026

發布日期： 2025-05-15

說明 嚴重性 附註

根據 VMware 安全性諮詢 VMSA-2025-0008，VMware Aria Automation 中基於 DOM 的跨網站指令碼攻擊 (XSS) 安全漏洞已私下回報給 VMware。VMware 已提供修補程式，可修復受影響產品中的這項安全漏洞。

該怎麼辦？

建議您升級至 VMware Aria Automation 8.18.1 修補程式 2。

重要事項

GCP-2025-011

發布時間： 2025-03-06

說明 嚴重性 附註

VMware 在 VMSA-2025-0004 中揭露多項安全漏洞，這些漏洞會影響部署在客戶環境中的 ESXi 元件。

對 VMware Engine 的影響

您的私有雲已修補完畢，或正在更新以解決安全漏洞。所有客戶都會獲得專屬的裸機主機，以及與其他硬體實體隔離的本機附加磁碟，這是 VMware Engine 服務的一部分。也就是說，這項安全漏洞只會影響特定私有雲中的客體 VM。

您的私有雲將更新至 7.0u3s，版本號碼為 24534642。這相當於 7.0U3s：版本號碼 24585291。

該怎麼辦？

請按照 Broadcom 和安全廠商的說明，處理這個安全漏洞。

重大

GCP-2025-004

發布時間： 2025-01-16

說明 嚴重性 附註

根據 VMware 安全性諮詢 VMSA-2025-0001，VMware Aria Automation 中存在伺服器端偽造要求 (SSRF) 安全漏洞，已由相關人員向 VMware 回報。VMware 已提供修補程式，可修復受影響產品中的這項安全漏洞。

該怎麼辦？

建議您升級至 VMware Aria Automation 8.18.2 HF。

中

GCP-2024-064

發布日期： 2024-12-10

說明 嚴重性 附註

根據 VMware 安全性諮詢 VMSA-2024-0022，VMware Aria Operations 中有多個安全漏洞已向 VMware 負責地回報。VMware 已推出更新，可修復受影響產品中的這些安全漏洞。

該怎麼辦？

建議您升級至 VMware Aria Operations 8.18.2。

重要事項

GCP-2024-060

發布日期： 2024-10-17

說明 嚴重性 附註

根據 VMware 安全性公告 VMSA-2024-0020，VMware NSX 中有多個安全漏洞已向 VMware 負責地回報。

VMware Engine 環境執行的 NSX-T 版本不會受到 CVE-2024-38815、CVE-2024-38818 或 CVE-2024-38817 影響。

該怎麼辦？

由於 VMware Engine 叢集不會受到這項安全漏洞影響，因此您不必採取進一步行動。

 中

GCP-2024-059

發布日期： 2024-10-16

說明 嚴重性 附註

根據 VMware 安全性諮詢 VMSA-2024-0021，VMware HCX 中經過驗證的 SQL 注入安全漏洞已私下回報給 VMware。

我們已套用 VMware 核准的緩解措施，以解決這項安全漏洞。這項修正解決了 CVE-2024-38814 所述的安全漏洞。目前，VMware Engine 私有雲中執行的映像檔版本不會反映任何變更，以指出套用的變更。已安裝適當的緩解措施，您的環境不會受到這個安全漏洞影響。

該怎麼辦？

建議您升級至 VMware HCX 4.9.2 版。

 高

GCP-2024-051

發布時間： 2024-09-18

說明 嚴重性 附註

VMware 在 VMSA-2024-0019 中揭露多項漏洞，這些漏洞會影響部署在客戶環境中的 vCenter 元件。

對 VMware Engine 的影響

  • Google 已停用任何可能利用這個安全漏洞的行為。舉例來說，Google 已封鎖可能遭人利用這個安全漏洞的通訊埠。
  • 此外，Google 也確保日後部署的所有 vCenter 都不會受到這個安全漏洞影響。

該怎麼辦？

目前你無須採取進一步行動。

重大

GCP-2024-040

發布日期： 2024-07-01

說明 嚴重性 附註

OpenSSH 伺服器 (sshd) 中發現 CVE-2024-6387 安全漏洞。 在以 glibc 為基礎的 Linux 系統上，這個安全漏洞可從遠端遭到利用： 由於這個安全漏洞會影響 sshd 的特殊權限程式碼 (未經過沙箱處理，且以完整權限執行)，因此攻擊者可從遠端執行未經驗證的程式碼，並取得根層級權限。

發布時，我們認為這項弱點難以遭到利用，因為必須贏得競爭狀況，這很難成功利用，且攻擊每部機器可能需要數小時。我們未發現任何濫用行為。

該怎麼辦？

  1. Linux 發行版推出更新後，請立即套用至工作負載。請參閱 Linux 發行版本的指引。
  2. 如果無法更新，建議您關閉 OpenSSH，直到修補程式推出為止。
  3. 如果必須保留 OpenSSH，您也可以執行設定更新，消除此漏洞的競爭狀況。這是執行階段的緩解措施。如要套用 sshd 設定中的變更，這個指令碼會重新啟動 sshd 服務。
    #!/bin/bash
set -e

SSHD_CONFIG_FILE=/etc/ssh/sshd_config
# -c: count the matches
# -q: don't print to console
# -i: sshd_config keywords are case insensitive.
if [[ "$(grep -ci '^LoginGraceTime' $SSHD_CONFIG_FILE)" -eq 0 ]]; then
    echo "LoginGraceTime 0" >> "$SSHD_CONFIG_FILE"
    echo "Set the LoginGraceTime to 0 in $SSHD_CONFIG_FILE"
else
    sed -i 's/^LoginGraceTime.*$/LoginGraceTime 0/' /etc/ssh/sshd_config
    echo "Changed the LoginGraceTime to 0 in $SSHD_CONFIG_FILE"
fi
# Restart the sshd service to apply the new config.
systemctl restart sshd
  4. 最後，監控是否有涉及 SSH 伺服器的異常網路活動。
重大

GCP-2024-037

發布日期： 2024-06-18

說明 嚴重性 附註

VMware 在 VMSA-2024-0012 中揭露多項安全漏洞，這些漏洞會影響客戶環境中部署的 vCenter 元件。

對 VMware Engine 的影響

  • 只要存取 vCenter Server 中的特定通訊埠，即可利用這項安全漏洞。Google 已封鎖 vCenter 伺服器上的安全漏洞通訊埠，防止有人利用這個安全漏洞。
  • 此外，Google 也確保日後部署的所有 vCenter 都不會受到這個安全漏洞影響。

該怎麼辦？

目前你無須採取進一步行動。

重大

GCP-2024-016

發布日期： 2024-03-05

說明 嚴重性 附註

VMware 在 VMSA-2024-0006 中揭露多項安全漏洞，這些漏洞會影響部署在客戶環境中的 ESXi 元件。

對 VMware Engine 的影響

您的私有雲已更新，可解決安全漏洞。

該怎麼辦？

你無需採取任何行動。

重大

GCP-2023-034

發布日期： 2023-10-25

更新日期： 2023 年 10 月 27 日

說明 嚴重性 附註

VMware 在 VMSA-2023-0023 中揭露多項漏洞，這些漏洞會影響部署在客戶環境中的 vCenter 元件。

對 VMware Engine 的影響

  • 只要存取 vCenter Server 中的特定連接埠，即可利用這項漏洞。這些通訊埠不會暴露於公開網際網路。
  • 如果不受信任的系統無法存取 vCenter 的 2012/tcp、2014/tcp 和 2020/tcp 連接埠，就不會受到這項安全漏洞影響。
  • Google 已封鎖 vCenter 伺服器上的易受攻擊通訊埠，防止有人惡意探索這個安全漏洞。
  • 此外，Google 會確保日後部署的所有 vCenter 伺服器都不會受到這個安全漏洞影響。
  • 發布公告時，VMware 並未發現任何「實際」遭濫用的情況。 詳情請參閱 VMware 說明文件。

該怎麼辦？

目前你無須採取進一步行動。

 重大

GCP-2023-027

發布日期：2023-09-11
說明 嚴重性 附註

VMware vCenter Server 更新解決多個記憶體損毀漏洞 (CVE-2023-20892、CVE-2023-20893、CVE-2023-20894、CVE-2023-20895、CVE-2023-20896)

對 VMware Engine 的影響

VMware vCenter Server (vCenter Server) 和 VMware Cloud Foundation (Cloud Foundation)。

該怎麼辦？

這項異動不會對客戶造成影響，因此無須採取任何行動。

 中

GCP-2023-025

發布日期：2023-08-08
說明 嚴重性 附註

Intel 最近發布了 Intel 安全性諮詢 INTEL-SA-00828，指出部分處理器系列受到影響。建議您根據這項建議評估風險。

對 VMware Engine 的影響

我們的機群使用受影響的處理器系列。在我們的部署作業中，整個伺服器專供一位客戶使用。因此，我們的部署模型不會增加這項安全漏洞評估的額外風險。

我們正與合作夥伴合作取得必要修補程式，並會在接下來幾週內，使用標準升級程序，優先在整個機群中部署這些修補程式。

該怎麼辦？

您無須採取任何行動，我們會升級所有受影響的系統。

 高

GCP-2021-023

發布日期：2021-09-21
說明 嚴重性 附註

根據 VMware 安全性諮詢 VMSA-2021-0020，VMware 收到 vCenter 多項安全漏洞的報告。VMware 已發布更新，可修復受影響 VMware 產品中的這些安全漏洞。

我們已根據 VMware 安全性諮詢，將 VMware 提供的 vSphere 堆疊修補程式套用至 Google Cloud VMware Engine。本次更新修正了 CVE-2021-22005、CVE-2021-22006、CVE-2021-22007、CVE-2021-22008 和 CVE-2021-22010 中所述的安全漏洞。其他非重大安全性問題將在即將進行的 VMware 堆疊升級中解決 (如 7 月發出的提前告知所述，我們將盡快提供升級的具體時間表)。

對 VMware Engine 的影響

根據我們的調查結果，沒有任何客戶受到影響。

該怎麼辦？

由於 VMware Engine 叢集不會受到這項安全漏洞影響，因此您不必採取進一步行動。

 重大

GCP-2021-010

發布日期：2021-05-25
說明 嚴重性 附註

根據 VMware 安全性諮詢 VMSA-2021-0010，vSphere Client (HTML5) 中的遠端程式碼執行和驗證繞過安全漏洞已私下回報給 VMware。VMware 已發布更新，可修復受影響 VMware 產品中的這些安全漏洞。

我們已根據 VMware 安全性諮詢，為 vSphere 堆疊套用 VMware 提供的修補程式。這項更新可解決 CVE-2021-21985 和 CVE-2021-21986 中所述的安全漏洞。目前，VMware Engine 私有雲中執行的映像檔版本不會反映任何變更，以指出已套用的修補程式。請放心，我們已安裝適當的修補程式，您的環境不會受到這些安全漏洞影響。

對 VMware Engine 的影響

根據我們的調查結果，沒有任何客戶受到影響。

該怎麼辦？

由於 VMware Engine 叢集不會受到這項安全漏洞影響，因此您不必採取進一步行動。

 重大

GCP-2021-002

發布日期：2021-03-05
說明 嚴重性 附註

根據 VMware 安全性諮詢 VMSA-2021-0002，VMware 接獲多項報告，指出 VMware ESXi 和 vSphere Client (HTML5) 存在多項安全漏洞。VMware 已發布更新，可修復受影響 VMware 產品中的這些安全漏洞。

我們已根據 VMware 安全性諮詢，為 vSphere 堆疊套用正式記錄的解決方法。本次更新修正了 CVE-2021-21972、CVE-2021-21973 和 CVE-2021-21974 中所述的安全漏洞。

對 VMware Engine 的影響

根據我們的調查結果，沒有任何客戶受到影響。

該怎麼辦？

建議您升級至最新版 HCX。

 重大