4分で読めます
VMware vCenterに存在する重大な脆弱性が、公表からわずか数日のうちに単一の脅威アクターによる大規模な悪用にさらされました。
CVE-2026–59310は、CVSSスコア9.8の重大なディレクトリトラバーサル脆弱性で、VMwareは7月29日にこれを公表しました。VMwareを傘下に持つBroadcomによると、vCenterインスタンスへのネットワークアクセス権を持つ攻撃者は、この脆弱性を遠隔から悪用し、標的の仮想環境内で任意のコードを実行できます。なお、CVSSスコアについてはこちらを参照してください。
ドイツのインシデントレスポンス(IR)企業QUIRSOは今週公開したブログ記事の中で、単一の脅威アクターに起因する世界規模の悪用活動を観測したと報告しました。QUIRSOの脅威リサーチチームは、最近のIR対応業務の中で、あるAPT(高度な持続的脅威)アクターとみられる攻撃者が、公表から1週間も経たない8月3日から本脆弱性の悪用を開始していた証拠を発見しています。
CVE-2026–59310は、悪用が確認された最新のVMware脆弱性ですが、今のところ攻撃は単一のAPTアクターとみられる存在に限定されているようです。とはいえ今回の攻撃は、VMwareのように頻繁に狙われるベンダーにおいて、公表から実際の悪用までの猶予がいかに短いかを改めて示す結果となりました。
VMware vCenterユーザーを狙う世界的な脅威キャンペーン
QUIRSOのリサーチチームは、活動の痕跡を47カ国に及ぶ範囲で追跡し、なかでも米国、フランス、イラン、トルコが最も集中的に狙われていたことを突き止めました。同社は今回の脅威キャンペーンの影響を受けたユニークなIPアドレスを合計361件特定しましたが、その一部はクラウド事業者やホスティング事業者が保有し、インフラを共有しているものであるため、この数字がそのままキャンペーンの被害者総数を表すわけではないと注意を促しています。
残念ながら、この脆弱性を修正するパッチを適用しただけでは、脅威を完全に排除できない可能性があります。攻撃者は、侵害後の永続性を確保する手段として、オープンソースの侵入テスト用ツールであるreverse_sshを利用しており、これによって侵害したシステムからアウトバウンドの制御チャネルを確立できます。
QUIRSOの最高執行責任者(COO)兼共同創業者であるDenis Szadkowski氏はDark Readingの取材に対し、攻撃者が脆弱なvCenterインスタンスでこの脆弱性を悪用し、reverse_sshを使用していた場合、ソフトウェアを修正版に更新した後もその攻撃者のアクセスは持続してしまうと語っています。
「これは基本的に、悪用とパッチ適用の競争なのです」とSzadkowski氏は述べています。「そのため、影響を受けた可能性のあるシステムについては、既存の侵害がないかを確認するためのフォレンジック調査を実施することをお勧めします」
QUIRSOはreverse_sshのビルドを識別するためのYARAルールを公開し、各組織に対してvCenterインスタンスに侵害の兆候がないか確認するよう呼びかけています。このキャンペーンの活動は8月4日にピークを迎えましたが、Szadkowski氏によれば攻撃は現在も続いているとのことです。
「私たちは今もなお、攻撃者が管理するreverse_sshインフラに接続してくる新たな被害者を確認し続けています。しかも攻撃者側は、私たちが監視していることに気づいていないようです」と同氏は言います。「新規被害者の数は増加を続けていますが、パッチ未適用で悪用可能なシステムの数が時間の経過とともに減少していくのに伴い、その増加ペースは初期の数日間に比べて緩やかになっています」
VMwareユーザーに残された短いパッチ適用の猶予
QUIRSOはブログ記事の中で、この脅威アクターが脆弱性について事前に把握していた可能性もあるとしつつ、攻撃のタイミングから見ると、CVE-2026–59310の公表が今回のキャンペーンの起点になったと考えられると指摘しています。さらにSzadkowski氏は、公表から悪用までわずか5日というスピードは、必ずしも攻撃者がVMwareに関する専門知識や、同種の攻撃の経験を持っていることを意味するわけではないと述べています。
「熟練した脆弱性研究者や高度な攻撃者は、脆弱性の公表後にパッチの差分を分析する『パッチディフィング』を行うのが一般的です」とSzadkowski氏は説明します。「十分な技術を持つ研究者であれば、勧告と私たちが調査した侵入との間の5日間で、パッチを分析してエクスプロイトを開発することは十分に可能だったと考えられます」
とはいえ、vCenterのパッチ適用に許された猶予が短いことは、各組織にとって大きな課題をもたらしているとAviatrixのプリンシパルエンジニアであり、検知・対応部門を率いるMatt Snyder氏は指摘します。同氏によると、サイバー犯罪集団から国家支援型のグループに至るまで、実にさまざまな脅威アクターがVMware製品を標的にしてきました。これは同ソフトウェアが企業内であまねく利用されており、いわば建物内のあらゆる扉を開けられる鍵のような存在になっているためだといいます。
「悪意ある攻撃者がvCenterを標的にした場合、認証を経ない単一のRCE(リモートコード実行)がもたらす被害範囲は、一つのアプリケーションにとどまりません。組織全体に及ぶのです」とSnyder氏は述べています。
さらに、仮想環境やハイパーバイザーの複雑さゆえに、VMware製品へのパッチ適用は一般的なアプリケーションよりもはるかに困難な作業となり、「メンテナンスウィンドウの確保は誰もが避けたがる話し合いだから」という理由で、各組織のパッチ適用が遅れがちになっているとSnyder氏は言います。
「こうした運用上の遅れがあるからこそ、防御戦略はネットワークによる封じ込めを第一の防衛線として据える必要があるのです」と同氏は付け加えます。「組織は、vCenterのような制御プレーンを信頼できないゾーンとして扱い、管理インターフェースを分離し、厳格なネットワークのマイクロセグメンテーションを徹底し、リバースシェルが持続的なコマンド&コントロール(C2)チャネルを確立するのを防ぐために、アウトバウンド通信を制限しなければなりません」
