要点
Broadcomは、VMware ESX、vCenter、Workstation、Fusionにまたがる5件の脆弱性を修正しました。このうち2件はVMware vCenterの深刻な脆弱性ペアを構成しており、いずれもCVSS 9.8の評価を受けています。一方は認証バイパスを許すもので、もう一方はリモートコード実行を可能にします。Broadcomによれば、これらの脆弱性が実際に悪用された形跡は確認されていません。VMware vCenterの脆弱性CVE-2026-59309とCVE-2026-59310はCVSS 9.8の認証バイパスと評価されています。
重要視される理由
vCenterはVMware環境のコントロールプレーンを担っています。ここが一度でも侵害されれば、管理下にあるすべてのホストが危険にさらされる可能性があります。そのため、CVSS 9.8という評価を受けたこの脆弱性は、データセンターにとって深刻な問題と言えます。
セキュリティ勧告VMSA-2026-0006では、これらの深刻な脆弱性に対する回避策は示されていません。パッチ適用のみが唯一の対処法です。vCenterはこれまでも攻撃者から繰り返し狙われてきた経緯があるため、管理者にとって対応の緊急性は一層高まっています。
攻撃の仕組み
CVE-2026-59309はVMware Directory Serviceに存在する脆弱性です。Broadcomは「攻撃者がこの問題を悪用して認証をバイパスし、不正なアクセス権限を取得する可能性がある」と説明しています。悪用にはvCenterへのネットワークアクセスのみが必要です。
CVE-2026-59310は、vCenter Syslogサーバーに存在するディレクトリトラバーサルの脆弱性です。この脆弱性では、ネットワークアクセス権を持つ攻撃者が任意のコードを実行できます。両方の脆弱性とも最高値である9.8のスコアが付けられており、Atredis Partnersによって報告されました。
ゲストからホストへのエスケープ
3つ目の深刻な脆弱性はESXに影響します。CVE-2026-47876は、VMXNET3仮想ネットワークアダプターにおけるアウトオブバウンズ書き込みの脆弱性で、9.3の評価を受けています。Broadcomは、仮想マシン上でローカル管理者権限を持つ攻撃者が「この問題を悪用してホスト上でコードを実行する可能性がある」と警告しています。
実質的にこれは仮想マシンからのエスケープに当たります。VMXNET3以外のアダプターは影響を受けません。この脆弱性はPwn2Ownコンテストを通じてSTAR Labsの研究者により報告されました。
深刻度が低い2件の問題
VMware vCenterに関する今回の脆弱性勧告には、さらに2件の脆弱性が含まれています。CVE-2026-41703はESX、Workstation、Fusionにおけるアウトオブバウンズ読み取りの脆弱性で、最大7.6の評価を受けており、情報漏えいやサービス拒否を引き起こす可能性があります。CVE-2026-41709はログ記録に関する低深刻度の欠陥で、スコアは2.7です。
影響を受けるバージョン
深刻な脆弱性が確認されたvCenterのバージョンは9.1.x、9.0.x、8.0に加え、Cloud FoundationおよびTelco Cloudのビルドにも及びます。VMXNET3の脆弱性は、対応するESXのリリースに影響します。WorkstationおよびFusion 25H2については、アウトオブバウンズ読み取りの脆弱性のみが影響します。
パッチと緩和策
直ちにアップデートを行ってください。vCenterについては、Broadcomの修正がバージョン9.1.0.0300、9.0.2.0100、8.0 U3kに適用されています。ESXについては、レスポンスマトリクスに記載されたESXiビルドを適用してください。
これらの問題に対する回避策は存在しないため、パッチ適用が唯一の対応策となります。作業を始める前に、公式のBroadcomのセキュリティ勧告で完全なマトリクスをご確認ください。現時点で、公開された概念実証(PoC)コードは確認されていません。
翻訳元: https://meterpreter.org/vmware-vcenter-cve-2026-59309/
