Broadcom VMware vCenterの管理者は現在、vCenter Syslog Serverに存在する重大なディレクトリトラバーサル脆弱性CVE-2026-59310を狙った侵入キャンペーンの標的となっています。
QUIRSOの脅威研究者らによると、47カ国にまたがる361個のユニークな被害者IPアドレスを確認したとのことです。得られた証拠からは、高度な持続的脅威(APT)集団とみられる攻撃者がこの脆弱性を悪用してコード実行を獲得し、リモートアクセスを確立している可能性が示唆されています。
今回のキャンペーンは、公開された仮想化管理インフラの脆弱性を攻撃者が迅速に実戦投入している実態を浮き彫りにしています。Broadcomは2026年7月29日にセキュリティアドバイザリVMSA-2026-0006を公開しました。
QUIRSOの観測によれば、影響を受けたシステムは、アドバイザリ公開からわずか5日後の8月3日に攻撃者が管理するインフラへの接続を開始しています。
その後、活動は急速に拡大しました。8月4日には新たに151個の被害者IPが確認され、8月5日までには観測された361個のアドレスのうち343個、約95%が確認済みとなりました。
CVE-2026-59310のCVSS v3.1スコアは9.8です。これはvCenterのSyslog Serverに存在するパストラバーサルの脆弱性であり、ネットワーク経由でアクセス可能な攻撃者が任意のコードを実行できてしまいます。
vCenterが仮想化環境の管理プレーンという役割を担っていることから、そのリスクはさらに増幅されます。侵害が発生すれば、侵入者はそこを足がかりに、ホストされているワークロードや認証情報、管理操作を標的にすることが可能になります。
被害者のテレメトリからは、地理的に広範囲に及ぶ被害パターンが見て取れます。最も影響を受けた上位5カ国はドイツ、米国、トルコ、イラン、フランスで、これらだけで観測された361個のIPのうち185個を占めています。
これらの数値はあくまでインフラの実態を示すものであり、検証済みの組織数を表すものではありません。単一の組織が複数のアドレスを使用している場合もあれば、クラウドやホスティング、共有ネットワークが多数の無関係なテナントを代表している場合もあります。
悪用後の挙動として、調査担当者はオープンソースのSSHベースのリバースシェルフレームワークであるreverse_sshの展開を確認しています。このツールはコネクトバック動作、ポートフォワーディング、ファイル転送、複数のトランスポート方式、リモートシェル管理をサポートしています。
侵入者にとってこの機能は、想定外のインバウンド接続に注目する防御策では検知されにくいアウトバウンドの制御チャネルを構築できる点で有用です。ただし、このツールはデュアルユース(善悪両方に使える)であり、その存在が確認されたからといって、それだけでは侵害の決定的な証拠にはなりません。
重要なのは文脈です。特に、脆弱なvCenterアプライアンスへの不正インストール、想定外のSSH活動、関連する永続化の痕跡などが該当します。BroadcomはCVE-2026-59310に対する回避策を提示していません。
管理者は、vCenterの導入状況を棚卸しし、信頼できないネットワークや広範な社内ネットワークからアクセス可能なインスタンスを優先的に対処した上で、該当する修正版をそれぞれ適用する必要があります。適用すべきバージョンは、vCenter 9.1.0.0300、9.0.2.0100、あるいは該当するvCenter 8.0 U3k/U2fブランチのアップデートです。
Cloud Foundation 5.xおよびVMware Telco製品については、アドバイザリに記載されているベンダー固有の修正対応が必要です。
また防御側は、vCenterの管理アクセスを承認済みの管理ネットワークに限定し、vCenterアプライアンスからのアウトバウンド接続を精査し、想定外のreverse_ssh実行ファイルやSSHトンネリングの挙動がないか調査すべきです。
QUIRSOはすでに公開していますreverse_sshのビルドを検出する汎用的なYARAルールを。ただし、検知結果はプロセス実行の記録やネットワークのテレメトリ、変更履歴と突き合わせて相関分析する必要があります。
一致する痕跡を発見した組織は、それを管理プレーンが侵害された可能性のある事象として扱い、証拠を保全した上で、直ちにインシデント対応のトリアージを開始すべきです。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を完全に確保し、SOCを強化してMTTRを削減しましょう
翻訳元: https://cyberpress.org/critical-vmware-vcenter-directory-traversal-flaw/
