vCenterの欠陥、公表からわずか5日で悪用

VMware vCenterの深刻度クリティカルな脆弱性が、Broadcomによる開示からわずか5日で悪用されていたことが判明しました。攻撃者はオープンソースのリバースシェルを展開し、侵害したシステムへのアクセスを維持していました。

ドイツのQuirso社の脅威調査チームは、インシデント対応業務の中でこのキャンペーンを発見し、8月10日に調査結果を公表しました。

このデジタルフォレンジック企業は、高度標的型攻撃(APT)グループの犯行の可能性が高いと評価しており、47カ国にまたがる361件の被害IPアドレスを確認しています。ただし、1つのIPアドレスが必ずしも単一の組織に対応するとは限らない点には注意が必要だとしています。

この脆弱性はCVE-2026-59310として識別されており、vCenter Syslogサーバーに存在する深刻なディレクトリトラバーサルの欠陥で、CVSSスコアは9.8と評価されています。Broadcomによると、ネットワーク経由でvCenterにアクセスできる未認証の攻撃者がこれを悪用して任意のコードを実行できるとしており、本来ログ収集用に構築されたサービスが、オペレーティングシステムへの侵入経路に変わってしまう格好です。

VMwareを狙う攻撃に関する関連記事: Play ランサムウェア、VMware ESXi環境への標的を拡大

アドバイザリ公表から侵害まで5日

Broadcomは7月29日にこの欠陥に関するアドバイザリを公表し、付随のFAQでは悪用は確認されていないとしていました。その後8月3日にアドバイザリを改訂し、8.0 U2f向けの緊急パッチを追加しています。

Quirsoのチームによると、侵害されたシステムが攻撃者のインフラと通信しているのを最初に確認したのは8月3日でした。翌日にはさらに151件の被害IPが確認され、8月5日までには361件の被害総数のうち約95%が出現していました。ドイツ、米国、トルコ、イラン、フランスの5カ国だけで185件を占めています。

攻撃者が事前にこの欠陥を把握していた可能性もありますが、Quirsoは公表と悪用のタイミングの強い相関関係から、アドバイザリの公表がこのキャンペーンの起点になったとみられると述べています。

管理すべき2つの時計

攻撃者は永続的なアクセスを確保するため、侵入テスト用に開発されたオープンソースのSSHベースのリバースシェルフレームワーク「reverse_ssh」を展開していました。

このツールは着信接続を受け付けるのではなく外部へ発信する形で動作するため、不正な着信アクセスを遮断するよう設計された制御を回避できます。QUIRSOは、このツールの存在だけでは侵害の証拠にはならないと強調しています。

証明書ライフサイクル管理(CLM)ベンダーSectigoのシニアフェロー、Jason Soroko氏は、パッチ適用だけではこのインシデントは解決しないと指摘します。「したがって、管理すべき時計は2つあります」と同氏は述べ、1つは脆弱性を塞ぐための時計、もう1つはパッチ適用前に侵入した者を排除するための時計だとしています。

Broadcomは回避策を公表していません。修正版のvCenterリリースは、展開しているブランチに応じて9.1.0.0300、9.0.2.0100、8.0 U3kまたは8.0 U2fとなっており、アドバイザリに記載された2つのクリティカルなvCenterの欠陥、すなわち悪用されたディレクトリトラバーサルとVMware Directory Serviceにおける認証バイパスの両方に対応しています。