VMwareの重大なvCenter脆弱性、攻撃者が標的に

迅速なインシデント対応を手がけるQuirso社の報告によると、脅威アクターがVMware vCenterで最近パッチが適用されたばかりの深刻度「重大」の脆弱性を悪用し始めています。

この脆弱性は7月29日に公表されたもので、Broadcomが同日パッチを提供し、複数のVMware製品に存在する他4件のセキュリティ上の欠陥と併せて修正しました。

CVE-2026-59310として追跡されているこの脆弱性(CVSSスコア9.8)は、Syslogサーバーにおけるディレクトリトラバーサルの問題で、リモートコード実行につながるものと説明されています。

Broadcomのアドバイザリには、「vCenterへのネットワークアクセス権を持つ悪意のある攻撃者が、この問題を悪用して任意のコードを実行する可能性があります」と記載されています。

Quirsoによると、あるAPT(高度persistent脅威)アクターが、CVE-2026-59310に対して脆弱な、ウェブからアクセス可能なVMware vCenterサーバーを狙い、リバースシェルを使って持続的なアクセスを確立しているとのことです。

このセキュリティ企業は、47カ国にまたがる360件を超える被害IPアドレスを特定しており、そのうち半数がドイツ、米国、トルコ、イラン、フランスのわずか5カ国に集中しています。

「これらのIPアドレスから、被害を受けた組織の正確な数を推測することはできません。IPアドレスは必ずしも単一の企業や物理システムに対応するわけではないためです。中にはホスティングプロバイダーやクラウドネットワーク、共有インフラに属するアドレスも含まれます」とQuirsoは述べています。

同社によると、悪用は8月3日から始まり、8月5日までに340件を超える被害IPアドレスが攻撃者のインフラに接続しているのが確認されました。

「攻撃者がこの脆弱性について事前に把握していた可能性はありますが、公表時期と悪用開始時期の間に強い相関が見られることから、公表が今回のキャンペーンの発端になったと考えられます」とQuirsoは指摘しています。

初期侵害の後、攻撃者はオープンソースのSSHリバースシェルフレームワークであるreverse_sshを展開し、侵害したシステムから外向きの制御接続を維持していました。これにより、通常は内向きの接続をブロックするセキュリティ対策を回避しています。

Quirsoは、reverse_sshのビルドを識別するための汎用YARAルールを公開しました。このツールは正規のペネトレーションテストにも使用できるため、外部からアクセス可能なvCenterシステムを持つ組織は、検知結果を鵜呑みにせず、不正なインストールや想定外の外向き接続・実行がないかも併せて確認した上で検証するよう推奨されています。