米国サイバーセキュリティ・インフラセキュリティ庁(CISA)は、Broadcom社のVMware vCenterに影響する深刻な脆弱性を、既知の悪用済み脆弱性(KEV)カタログに追加しました。
この脆弱性はCVE-2026-59310として追跡されており、影響を受けるvCenter環境において任意コード実行を可能にするパス・トラバーサルの欠陥です。
試すサイバーセキュリティ・侵入テストツール
VMware vCenterのパス・トラバーサル脆弱性
CVE-2026-59310はVMware vCenterのSyslog Serverコンポーネントに影響し、ディレクトリパス名に対する不適切な制限を意味するCWE-22に該当します。
脆弱なvCenterインスタンスにネットワークアクセスできる攻撃者は、この欠陥を悪用して本来アクセスできないディレクトリを走査し、悪意あるコードを実行できます。セキュリティレポートでは、この脆弱性を認証不要のリモートコード実行につながる重大なリスクと分類しており、CVSSスコアは9.8とされています。
この脆弱性が深刻とされる理由は、vCenterが仮想化インフラの中枢管理拠点としての役割を担っている点にあります。侵害された場合、攻撃者は仮想マシンへのアクセスや設定変更、永続化の確立、認証情報の窃取、さらには企業環境全体への横展開の足掛かりを得る恐れがあります。
複数の報告によると、この脆弱性を悪用した攻撃者は、公開状態のvCenterアプライアンスを侵害した後、持続的なリモートアクセスを維持するためにリバースSSHツールを利用していたとされています。
CISAは2026年8月18日にCVE-2026-59310をKEVカタログに追加し、対象となる連邦文民行政機関に対する対応期限を8月21日に設定しました。
同庁は各組織に対し、ベンダーのガイダンスに従って緩和策を実施すること、インターネットへの露出状況を考慮すること、該当するBOD 26-04のリスクベースのパッチ適用要件を遵守すること、そして必要なフォレンジック・トリアージを実施することを求めています。
クラウドサービスにおいて緩和策が利用できない場合、CISAは関係者に対し、関連ガイダンスに従うか、対象製品の使用を中止するよう助言しています。
Broadcomは2026年7月29日にこの脆弱性の修正版をリリースしました。複数の報告によると、悪用は脆弱性の公表からわずか数日以内に始まったとされており、有効な攻撃コードが出回った後、防御側に残された対応の猶予がいかに短いかを浮き彫りにしています。
研究者らは、複数の国にまたがる数百件の潜在的に影響を受けるインターネット公開システムを特定しています。ただし、CISAのKEVエントリでは、この脆弱性に関連するランサムウェア活動については確認されていません。
各組織は、自社のvCenter Server展開状況を速やかに洗い出し、インターネットに公開されている、または外部から到達可能なインスタンスを優先的に対処した上で、Broadcomのパッチ適用済みリリースを速やかに導入する必要があります。
セキュリティチームはまた、侵害の兆候がないか、アプライアンスのログ、認証イベント、プロセスの活動状況、ネットワーク接続、そして最近の管理操作の変更履歴を確認する必要があります。
vCenterが極めて重要なシステムであることを踏まえ、各組織はインシデント対応によるトリアージで状況が明らかになるまで、未パッチかつ外部に露出したシステムを侵害された可能性があるものとして扱うべきです。
新たなフィッシングやマルウェアが貴社を侵害する前に阻止しましょう。 世界15,000のSOCからのライブインテリジェンスを統合
比較するトップクラスのアンチウイルス保護
翻訳元: https://gbhackers.com/cisa-warns-vmware-vcenter-path-traversal-flaw/
