Broadcomは、リモート攻撃者がvCenterの認証をバイパスしたり、任意のコードを実行したりすることを可能にするVMwareの重大な脆弱性に対処する重要なセキュリティアップデートを公開しました。
これらの脆弱性はアドバイザリVMSA-2026-0006にまとめられており、vCenter、ESX、Workstation、Fusion、VMware Cloud Foundation、vSphere Foundation、および一部のTelco Cloud製品を含む幅広い製品に影響します。
脆弱性評価サービス
2026年7月29日に公開されたこのアドバイザリは、CVSS v3スコアが2.7から9.8までの5件の脆弱性を対象としています。vCenterに関する2件の重大な脆弱性には回避策が用意されていないため、各組織は修正対応を最優先で進める必要があります。
vCenterに存在する重大な脆弱性
最も深刻な脆弱性はCVE-2026-59309で、VMware Directory Serviceにおける認証バイパスの問題です。脆弱性のあるvCenter Serverにネットワーク経由でアクセスできるリモートの未認証攻撃者が、認証制御をバイパスし、管理プラットフォームへ不正アクセスできる可能性があります。
vCenterはESXiホスト、仮想マシン、権限、テンプレート、インフラのワークフローを一元管理しているため、これが侵害されると攻撃者に仮想化環境内で極めて価値の高い足がかりを与えることになります。インターネットに公開されている、あるいはセグメント分離が不十分なvCenter環境については、緊急のパッチ適用対象として扱うべきです。
2つ目の重大な脆弱性はCVE-2026-59310で、vCenterのSyslogサーバーにおけるディレクトリトラバーサルの欠陥です。Broadcomによれば、ネットワークアクセス権を持つ攻撃者がこの欠陥を悪用して任意のコードを実行できる可能性があり、vCenterアプライアンス上でリモートコード実行が行われる重大なリスクをもたらします。
公開されているCVSSベクターによると、これら2件の脆弱性はいずれもCVSS v3の最高スコアである9.8を記録しており、権限もユーザー操作も必要としません。
対処された脆弱性
- CVE-2026-59309 – 重大、CVSS 9.8：vCenterに影響するVMware Directory Serviceにおける認証バイパス。ネットワーク経由の攻撃者が認証をバイパスし、不正にシステムへアクセスできる可能性があります。
- CVE-2026-59310 – 重大、CVSS 9.8：vCenterのSyslogサーバーにおけるディレクトリトラバーサル。ネットワークアクセス権を持つリモート攻撃者が任意のコードを実行できる可能性があります。
- CVE-2026-47876 – 重大、CVSS 9.3：VMware ESXのVMXNET3仮想ネットワークアダプタにおける境界外書き込み。VMXNET3を使用するVM内でローカル管理者権限を持つ攻撃者が、ESXホスト上でコードを実行できる可能性があり、実質的にVMエスケープのシナリオを可能にします。VMXNET3以外のアダプタは影響を受けません。
- CVE-2026-41703 – 重要、CVSS 7.6：ESX、Workstation、Fusionに影響する境界外読み取り。VMのデプロイ権限を持つ攻撃者が情報を漏えいさせたり、ホストプロセスのサービス拒否を引き起こしたりする可能性があります。WorkstationとFusionでは影響は情報漏えいに限定されます。
- CVE-2026-41709 – 低深刻度、CVSS 2.7：ESXiにおけるログ記録の不備。悪意のある管理者が特定の操作を行っても、その操作がログに適切に記録されない可能性があります。
パッチ適用に関するガイダンス
Broadcomは、VMSA-2026-0006の対応表に記載された修正済みバージョンの適用を各組織に推奨しています。
- vCenterの修正版には、9.1環境向けのバージョン9.1.0.0300、9.0環境向けの9.0.2.0100、バージョン8.0向けのvCenter Server 8.0 U3kが含まれます。
- ESXについては、該当する環境に応じてESXi-9.1.0.0200-25557999、ESXi-9.0.2.0100-25595025、またはESXi 8.0 U3kを導入する必要があります。VMware Cloud Foundation 5.xを利用しているユーザーは非同期パッチ適用プロセスを使用する必要があり、Telco Cloudの顧客はBroadcom KB449886の手順に従う必要があります。
セキュリティチームは、vCenterの管理インターフェースを専用の管理ネットワークに限定し、vCenterおよびESXiの特権アカウントを見直し、不審な認証活動、新規の管理者アカウント、設定変更、予期しないVMXNET3関連のホストイベントを監視することも求められます。
セキュリティトレーニングコース
警告：20以上の政府系サイトが企業や市民にマルウェアを配布していました。詳しい攻撃調査はこちらから確認し、自組織のリスクをチェックしてください。
翻訳元: https://gbhackers.com/critical-vmware-vcenter-flaws/
