VMwareのvCenterで見つかった深刻なRCE脆弱性、リバースSSHアクセスの手段として悪用

VMware vCenter Syslog Serverに存在する深刻な脆弱性(CVE-2026-59310)が最近パッチ適用されたばかりですが、この脆弱性を悪用してリバースSSHツールを展開し、永続化とリモートアクセスを確立する攻撃キャンペーンが確認されています。

これまでに47か国、361件のIPアドレスで侵害が確認されており、その半数以上はドイツ、米国、トルコ、イラン、フランスに集中しています。

Broadcomは7月29日にCVE-2026-59310を公表し、vCenter Syslog Serverに存在する深刻なディレクトリトラバーサル脆弱性であると説明しています。この脆弱性は、ネットワークアクセス権を持つ未認証の攻撃者によって任意コード実行に悪用される可能性があります。

ベンダーは回避策や緩和策を提供しておらず、システム管理者に対して緊急アップデートの適用を強く呼びかけているほか、詳細情報としてFAQの参照を推奨しています。この問題を修正する各vCenterリリースは以下のとおりです。

VMware vCenterは、仮想マシンやESXiサーバー、各種設定、アクセス権限など、組織のVMware仮想インフラを一元的に制御・監視・構成するための管理ソフトウェアです。

複数の重要システムを広範に制御できることから、この製品は攻撃者に頻繁に狙われています。攻撃者はこのアクセス権を悪用して、データ窃取や業務妨害を引き起こす可能性があります。

デジタルフォレンジック・インシデントレスポンス(DFIR)企業のQUIRSOによると、侵害されたシステムが攻撃者管理下のインフラへの接続を開始したのは8月3日で、Broadcomが脆弱性を公表し緊急パッチをリリースしてからわずか5日後のことでした。

このキャンペーンは急速に拡大し、8月4日には新たに151件の被害IPアドレスが確認されました。翌日には被害IPの件数は343件に達しています。

しかしQUIRSOの報告によれば、8月7日までに確認された被害IPの総数は361件に上るとのことです。

攻撃者は脆弱なvCenterシステムへのアクセスを取得した後、オープンソースのreverse_sshフレームワークを展開し、永続化とリモートアクセスの確立に利用していました。

このリバースSSH接続は、外向きのコマンド&コントロール(C2)チャネルとして機能するほか、ファイアウォールなどのネットワークセキュリティ対策を回避する手段としても悪用され得ます。

QUIRSOは、reverse_sshのクライアントバイナリを検出する汎用のYARAルールを公開しています。ただし、このツールが正規の目的で使用された場合もアラートが発生する点には注意が必要です。

研究者らは、今回の悪用活動の背後には高度標的型攻撃(APT)グループが存在するとみていますが、これを裏付ける証拠は提示していません。また、法執行機関との連携が継続中であることを理由に、具体的な痕跡情報(IOC)の公開は控えています。

QUIRSOは、攻撃者のインフラ、手口、永続化手法、侵害後の活動内容などを詳しく取り上げた続報を準備しているとのことです。

BleepingComputerはQUIRSOの調査結果についてBroadcomにコメントを求めましたが、本記事の公開時点で回答は得られていません。

攻撃者が正規の認証情報を入手した場合、その行動のうちブロックされるのはわずか37%

全体的な防御スコアだけを見ていると、初期侵入後に何が起きているかが見えなくなってしまいます。攻撃者が正規の認証情報を使い始めると、防御の成功率は急激に低下します。

The Blue Report 2026は、顧客の本番環境で実施された3億3,800万回のシミュレーションをもとに、防御手法を一つひとつ検証しています。