Broadcomは、vCenter Server、ESXi、Workstation、Fusionを含むVMware製品に存在する複数の深刻な脆弱性に対応するセキュリティアドバイザリを公開しました。これらの脆弱性を悪用されると、攻撃者に認証を回避され、任意のコードを実行される恐れがあります。
VMSA-2026-0006として追跡されているこれらの脆弱性のCVSSスコアは2.7から9.8までの範囲に及び、最も深刻な問題はVMware vCenterに影響します。
影響を受けるのは、VMware Cloud Foundation、vSphere Foundation、Telco Cloud環境など、広く導入されている企業向けプラットフォームです。
最も深刻な脆弱性であるCVE-2026-59309（CVSS 9.8）は、VMware Directory Serviceに存在する認証バイパスの脆弱性です。
vCenterにネットワークアクセス可能なリモート攻撃者は、この問題を悪用して有効な認証情報を持たずに不正アクセスを行うことができます。これにより侵害のハードルが大幅に下がり、特にvCenterが外部に露出している環境では危険性が高まります。
同じく9.8のスコアを持つCVE-2026-59310は、vCenterのSyslogサーバーに存在するディレクトリトラバーサルの脆弱性であり、ネットワーク隣接の攻撃者がホスト上で任意のコードを実行できてしまいます。
これら2つの重大な脆弱性は、Cloud Foundation、vSphere Foundation、Telco Cloud製品内のバージョン9.1.x、9.0.x、8.0、5.x系のvCenterに影響し、いずれもAtredis Partnersの2名によって報告されました。
このアドバイザリでは、深刻度がやや低い3件の脆弱性についても修正が行われています。CVE-2026-47876は、VMXNET3仮想ネットワークアダプタに存在する境界外書き込みの脆弱性で、深刻度はクリティカル（CVSSv3 9.3）です。VM上でローカル管理者権限を持つ攻撃者に悪用されると、ホスト上でコードを実行される恐れがあります。
CVE-2026-41703は、ESX、Workstation、Fusionに影響する重要度「重要」（7.6）の境界外読み取りの脆弱性で、情報漏えいやESXホストでのサービス拒否を引き起こす可能性があり、Maxim Suhanov氏によって報告されました。
CVE-2026-41709は、ESXに存在する深刻度「低」（2.7）のロギング不備の脆弱性で、悪意ある管理者がログに記録されない操作を実行できてしまいます。この脆弱性はCrowdStrikeのIan Barton氏の功績によるものです。
Broadcomによると、パッチは累積方式で提供されるため、vCenter 9.1.0.0300には元々9.1.0.0200で提供されていたCVE-2026-59309の修正が含まれています。Telco Cloud PlatformまたはTelco Cloud Infrastructureを運用している管理者は、対処方法についてKB449886を参照してください。
CVE-2026-59309とCVE-2026-59310は、ネットワーク経由で悪用可能かつ認証不要という性質を持つため、インターネットに接続されている、あるいは横展開の攻撃にさらされる可能性のあるvCenter環境を運用している組織は、直ちにパッチ適用を最優先とすべきです。現時点で代替の回避策は公開されていません。
SOC調査の死角を削減し、ANY.RUNで脅威をより早期に封じ込めることで、対応コストと事業への影響を軽減できます。
翻訳元: https://cyberpress.org/critical-vmware-vcenter-flaws/