Broadcomは、VMware vCenter、ESX、Workstation、Fusionに存在する5件の脆弱性を修正するセキュリティアップデートを公開しました。この中には、攻撃者が認証を回避したり、任意のコードを実行したり、仮想マシンからホストへ脱出したりすることを可能にする重大な欠陥3件が含まれています。
これらの脆弱性は、vCenterやESXを内包する製品にも影響し、VMware Cloud Foundation、VMware vSphere Foundation、VMware Telco Cloud Platform、VMware Telco Cloud Infrastructureも対象となります。
Broadcomは、アドバイザリに記載された修正済みバージョンより前のリリースを稼働させている組織は、自組織が脆弱であると想定し、直ちに対応するよう呼びかけています。
5件の脆弱性の概要は以下の通りです。
- CVE-2026-59309: VMware Directory Serviceに存在する重大な認証バイパスの脆弱性です。vCenterへのネットワークアクセスを持つ未認証の攻撃者がこの欠陥を悪用し、認証を回避してシステムへの不正アクセスを獲得できます。
- CVE-2026-59310: vCenter Syslogサーバーに存在する重大なディレクトリトラバーサルの脆弱性です。ネットワークアクセスを持つ未認証の攻撃者が任意のコードを実行できます。
- CVE-2026-47876: VMXNET3仮想ネットワークアダプタに存在する重大な範囲外書き込みの脆弱性です。VMXNET3を使用する仮想マシン内でローカル管理者権限を持つ攻撃者がこの欠陥を悪用すると、ESXホスト上でコードを実行でき、仮想マシンからの脱出につながります。他の仮想ネットワークアダプタを使用する仮想マシンは影響を受けません。
- CVE-2026-41703: ESX、Workstation、Fusionに存在する範囲外読み取りの脆弱性です。仮想マシンの展開権限を持つ攻撃者がこれを悪用すると、情報が漏えいしたり、ホストプロセスにサービス拒否状態を引き起こしたりする可能性があります。WorkstationとFusionでは、影響は情報漏えいに限定されます。
- CVE-2026-41709: ログ記録が不十分な脆弱性で、悪意のあるESX管理者が特定の操作をログに記録されることなく実行できてしまいます。
重大な脆弱性3件のうち、CVSSスコア9.8を記録した2件のvCenterの欠陥(CVE-2026-59309とCVE-2026-59310)、そしてスコア9.3のVMXNET3脱出の欠陥(CVE-2026-47876)が該当します。
残りの問題はそれより深刻度が低く、CVE-2026-41703はESX上ではスコア7.6の「重要」に格付けされています。WorkstationとFusionでは影響が情報漏えいに限定されるため、スコア2.7の「低」に格付けされています。CVE-2026-41709もスコア2.7の「低」です。
vCenterの脆弱性はバージョン9.1.0.0300、9.0.2.0100、8.0 Update 3kで修正されており、ESXの欠陥はESXi 9.1.0.0200、ESXi 9.0.2.0100、ESXi 8.0 Update 3kで対処されています。
バージョン25H2を稼働させているVMware WorkstationおよびFusionのユーザーは、CVE-2026-41703に対処するため26H1へのアップグレードが必要です。VMware Cloud Foundation 5.xおよび影響を受けるテレコム向け製品には、Broadcomのアドバイザリに個別のパッチ適用手順が記載されています。
これらの脆弱性に回避策はなく、Broadcomは他の仮想ネットワークアダプタにもセキュリティ上の欠陥が確認されており性能低下を招く可能性もあるため、仮想マシンをVMXNET3アダプタから他のアダプタに切り替えることは推奨しないとしています。
Broadcomはこれらを緊急修正として扱っており、管理者に対しできる限り早急にインストールするよう促しています。
Broadcomは補足FAQの中で、「これらの問題はITILの方法論において緊急変更に該当し、組織による迅速な対応が求められます」と警告しています。
ただし、アップデート適用の過程でサービスに一部影響が生じる可能性があります。
Broadcomによると、vCenterへのパッチ適用中はvSphere Clientをはじめとする管理インターフェースへのアクセスが一時的に中断されますが、稼働中の仮想マシンやコンテナは動作を継続するとのことです。
VMware ESXのアップデートにはサーバーの再起動が必要となるため、Broadcomはクラスタをローリング再起動で更新する間、vMotionを使って仮想マシンを他のホストへ移動させるよう管理者に推奨しています。移行できない仮想マシンは、再起動中は電源を落としておく必要があります。
サポート対象の環境では、ESX Live Patchを利用して中断を軽減することも可能ですが、vCenterのアップデートはQuick Patchの対象外です。
Broadcomはまた、新しいパッチを適用した際にVMware Cloud Foundationのアップグレードで互換性の問題が生じる可能性があると警告しています。
FAQでは次のように説明されています。「はい。『時間の巻き戻り』制限は、あるパッチが計画中のアップグレード先よりも新しいビルド番号を持つ製品ブランチを更新した場合に発生します」。
「本アドバイザリにおけるvSphere 8.0および9.0のアップデートは、VMware Cloud Foundation 9.xへのアップグレードをブロックし、『時間の巻き戻り』エラーを報告します」。
同社は、アップグレードの互換性は今後のリリースで復旧される予定だとしています。
Broadcomによれば、本アドバイザリに記載された脆弱性が実際の攻撃で悪用されている兆候は現時点で確認されていません。
とはいえ、VMwareサーバーは攻撃の標的として頻繁に狙われています。VMware vCenterやESXiサーバーが侵害されると、組織のサーバー群やそこに保存されたデータの大部分へのアクセスを攻撃者に許してしまうためです。
これまでも、数多くのランサムウェア集団が、VMwareの仮想マシンを専門に狙う専用の暗号化ツールを作成してきました。企業環境での利用が一般化しているためです。
2025年12月には、CISAも中国の脅威アクターがVMware vSphereサーバーを侵害し、BrickStormマルウェアを展開し、隠された不正な仮想マシンを作成し、クローンされた仮想マシンのスナップショットを盗んで認証情報を窃取していると警告しました。
CrowdStrikeもまた、攻撃者がESXiシェルを使って、ESXiやvCenterのWebコンソールに表示されない未登録の「ゴースト」仮想マシンを作成する事例を確認しています。同社はこの永続化手法をVirtualGHOSTとして追跡しています。
Broadcomは今回新たに修正された脆弱性の悪用は確認していないとしていますが、管理者はできるだけ早くアップデートを適用すべきです。
攻撃者に先んじて、あらゆる層をテストする
セキュリティチームが記録できているのは、成功した攻撃のうちわずか54%にすぎず、アラートが上がるのは14%だけです。残りは環境内を検知されないまま通過しています。
Picusのホワイトペーパーでは、侵害・攻撃シミュレーションがSIEMやEDRのルールをどのようにテストし、検知をすり抜ける脅威を防ぐかを解説しています。
