米サイバーセキュリティ・インフラセキュリティ庁(CISA)は、7月にパッチが提供されたVMware vCenterの深刻な脆弱性を悪用する既存の攻撃に、ランサムウェア集団も加わったとしてセキュリティチームに警告しました。
Broadcomは7月29日、CVE-2026-59310として追跡されるこのセキュリティ脆弱性に対処し、vCenter Syslogサーバーにおける深刻なディレクトリトラバーサル脆弱性だと説明しています。認証されていない攻撃者がこれを悪用すると、任意のコードを実行できるとしています。
同社は当時、補足FAQの中で、CVE-2026-59310の修正を緊急事態として扱い、できるだけ早くパッチを適用するよう顧客に呼びかけていました。
その2週間後、デジタルフォレンジック・インシデント対応(DFIR)企業のQUIRSOは、APT(高度持続的脅威)アクターとみられる攻撃者がこの脆弱性の悪用を開始し、永続性の確保とリモートアクセスのためにリバースSSHツールを展開していたことを発見したと報告しました。侵害を受けたIPアドレスは47か国にわたり361件以上に上るとしています。
その数日後、米サイバーセキュリティ・インフラセキュリティ庁(CISA)はCVE-2026-59310を悪用が確認された脆弱性(KEV)カタログに追加し、政府機関に対して3日以内にvCenterシステムを保護するよう命じました。
週末にかけて、CISAはKEVカタログを再度更新し、この脆弱性がランサムウェア集団によって積極的に悪用されていることを示すフラグを立てました。
インターネットセキュリティの脅威監視組織Shadowserverは現在、オンライン上に露出しているVMware vCenterサーバーを450台以上確認していますが、そのうちどれだけがこの脆弱性に対するパッチをすでに適用済みかについての情報はありません。
ランサムウェア集団の標的となるVMware
米サイバーセキュリティ機関はCVE-2025-60710を狙ったランサムウェア攻撃の詳細をまだ公表していませんが、VMwareサーバーが標的にされやすいのは、侵害されたvCenterやESXiサーバーが組織のネットワークや内部システムに保存された機密データへのアクセス経路になり得るためです。
近年、企業がVMware仮想マシンを社内データの管理・保存のために一般的に利用するようになったことを受け、複数のランサムウェア集団がVMware仮想マシンを標的とした専用の暗号化ツールを開発してきました。
CISAは2月にも、ランサムウェアグループがVMware ESXiのサンドボックスエスケープ脆弱性(CVE-2025-22225)の悪用を開始したと警告していました。この脆弱性は、中国語圏の脅威アクターが少なくとも2024年2月以降、ゼロデイ攻撃で標的にしてきたものです。
年初以降、同機関は2月と3月にも、VMware Aria Operations(CVE-2026-22719)やVMware vCenter Server(CVE-2024-37079)の脆弱性が攻撃で悪用されているとしてフラグを立てていました。
過去5年間で、CISAはVMwareの脆弱性26件を実際の悪用事例としてタグ付けしており、そのうち9件はランサムウェア攻撃でも悪用されています。
