脅威研究者らは、VMware vCenterの重大な脆弱性であるCVE-2026-59310を悪用する攻撃キャンペーンが進行中であることを確認しました。47か国にわたり361件の被害IPアドレスが観測されています。
このキャンペーンは脆弱性の公開からわずか数日後に始まったとみられ、侵害したインフラへのリモートアクセスを維持するためにreverse SSHツールを使用しています。
vCenterの深刻な露出リスク
CVE-2026-59310は、VMware vCenterのSyslogサーバーに存在するディレクトリトラバーサルの脆弱性です。Broadcomはこの脆弱性にCVSS v3で最大値となる9.8を割り当てており、ネットワークアクセスを持つ攻撃者がこれを悪用して任意のコードを実行できると警告しています。
BookSecurity Audits
ベンダーは回避策を提供しておらず、迅速なパッチ適用が唯一の対応策となっています。
この脆弱性は、2026年7月29日にBroadcomのアドバイザリVMSA-2026-0006で公表されました。更新版のアドバイザリVMSA-2026-0006.1には、vCenterバージョン9.1、9.0、8.0向けの修正、具体的にはバージョン9.1.0.0300、9.0.2.0100、8.0 U3k、8.0 U2fに対する修正が含まれています。
QUIRSO GmbHの脅威リサーチチームによると、攻撃者が管理するインフラは8月3日、当初の脆弱性公開からわずか5日後に、被害を受けたシステムからの最初の接続を受信しました。
この攻撃活動は急速に拡大し、翌日にはさらに151件の被害IPが確認されました。8月5日までに、361件のIPのうち合計343件が特定されています。
ドイツ、米国、トルコ、イラン、フランスが最も被害を受けた国であり、観測された被害インフラ全体のちょうど半数を少し超える185件のIPアドレスがこれらの国から確認されています。
研究者らは、被害IPの数が被害組織数をそのまま表しているわけではない点に注意すべきだと指摘しています。単一の組織が複数の公開システムを運用している場合があるほか、ホスティングサービスやクラウドサービス、共有ネットワークでは、無関係な複数の環境が1つのIPアドレスの背後にまとめられることがあるためです。
それでも、被害の急速な増加と広範な地理的分布は、露出したvCenter環境に対する大規模なスキャンと日和見的な悪用が行われていることを示唆しています。
アクセス権を獲得した後、攻撃者とみられる集団は、オープンソースのSSHベースのリバースシェルフレームワークであるreverse_sshを展開しました。このソフトウェアは、アウトバウンドのコネクトバック通信、ポートフォワーディング、ファイル転送、複数のトランスポート方式、リモートシェル管理を可能にします。
これらの機能はペネトレーションテストにおいて正当に利用されることもありますが、悪意ある侵入者にとっても有用なものです。
侵害されたvCenterアプライアンスにとって、reverse SSHは強靭な制御経路を提供します。境界ファイアウォールやネットワークセグメンテーションによって制限されうるインバウンドアクセスに頼るのではなく、侵害されたシステム自身が攻撃者のインフラへアウトバウンド接続を開始します。これにより、侵入者は最初の侵害活動が終息した後でも、再びリモートアクセスを取得できる可能性があります。
reverse_sshの存在だけでは侵害の決定的な証拠にはなりませんが、防御側は、パッチ未適用のvCenter Server上で見つかる不審なバイナリ、想定外のアウトバウンドSSH様セッション、不審なプロセス実行を、優先度の高い調査対象として扱うべきです。
組織は、インターネットからアクセス可能なvCenterシステムをすべて速やかに特定し、導入されているバージョンを確認したうえで、該当するBroadcomのアップデートを適用する必要があります。Broadcomの対応マトリクスには、影響を受けるVMware Cloud Foundation、vSphere Foundation、Telco Cloud製品も含まれています。
セキュリティチームには、以下の対応が推奨されます。
Cloudsecurity certification
- 8月3日以降のvCenterログとアウトバウンドのネットワークテレメトリの確認
- 不正なreverse_sshバイナリ、永続化の仕組み、原因不明のSSHトンネルの捜索
- vCenterアプライアンスから見慣れない外部ホストへの不審な接続の調査
- 管理プレーンの露出範囲の制限と、フォレンジック調査前の侵害の可能性があるアプライアンスの隔離
脆弱性の公開から悪用開始までの期間が極めて短かったことを踏まえると、インターネットに公開されパッチ未適用のvCenterインスタンスは、安全であると証明されるまでは侵害されている可能性があるものとして扱うべきです。
新たなフィッシングやマルウェアが貴社のビジネスを侵害する前に阻止しましょう。 世界15,000のSOCからのライブインテリジェンスを統合
翻訳元: https://gbhackers.com/hackers-exploit-critical-vmware-vcenter-flaw/
