ランサムウェア集団、VMware vCenterの重大脆弱性を悪用

VMware vCenterの重大な脆弱性に対するパッチは2026年7月下旬から公開されていましたが、その後の6週間で事態ははるかに深刻な局面へと発展しました。米サイバーセキュリティ・インフラセキュリティ庁（CISA）は最近、ランサムウェアの攻撃者がCVE-2026-59310を積極的に悪用していることを確認しました。この憂慮すべき動きを受け、CISAは既知の悪用脆弱性カタログに4件の脆弱性を新たに追加し、その中でも深刻なvCenterの脆弱性を目立つ形で取り上げています。

CVE-2026-59310の仕組み

vCenterプラットフォームは、企業のアーキテクチャの中でも極めて機密性の高い位置を占めています。管理者はこの中枢ハブを使って、ESXiホストや仮想マシン、複雑な設定、アクセス権限を管理しています。そのため、仮想インフラが完全に侵害されると、攻撃者は膨大な数の重要システムに対して即座に全面的な制御権を握ることになります。詳しい経緯については、VMSA-2026-0006に関するBroadcomのセキュリティアドバイザリで最初の開示内容の全容を確認できます。

この脆弱性のCVSS深刻度スコアは10点満点中9.8という壊滅的な数値です。根本的な欠陥はvCenterのSyslogサーバーの奥深くに存在し、危険なディレクトリトラバーサルの一種に分類されています。攻撃者はvCenterサーバーへの基本的なネットワークアクセスさえあれば十分で、事前の認証もユーザー操作も一切必要としません。そして最終的に、悪用が成功すると任意のリモートコード実行が可能になります。

Broadcomは7月29日にこの脆弱性を最初に修正しました。vCenter 9.1系についてはビルド9.1.0.0300に修正が組み込まれ、9.0系はビルド9.0.2.0100で対応しています。一方、バージョン8.0を運用しているユーザーは8.0 U3kまたは8.0 U2fへの移行が必要です。重要な点として、実用的な回避策は存在しません。そのため同社は、開示された瞬間からこの更新を絶対的な緊急事態として扱うよう強く推奨していました。

急速な兵器化と世界的な影響

実際の悪用が始まるまでの猶予期間は驚くほど短いものでした。QUIRSOは8月3日、つまりパッチ公開からわずか5日後に、悪意あるインフラと通信を確立した最初の侵害システムを検出しています。8月7日までには、専門家らは47カ国に散らばる361件の侵害済みIPアドレスをすでに特定していました。攻撃者は足場を固めるため、永続的なリモートアクセスを確保するリバースSSHトンネルを展開しました。

その後QUIRSOが行ったフォレンジック分析により、はるかに複雑な攻撃連鎖の実態が明らかになりました。初期侵害の後、攻撃者は不正なシングルサインオン（SSO）管理者アカウントを組織的に作成し、アクセス可能なVMware ESXiホストを探し回り、最終的にはBabukのソースコードをベースにした強力なランサムウェアペイロードを展開しました。収集された痕跡全体からは中国語圏の脅威アクターとの中程度の関連性がうかがえるものの、CISAはこれら一連のランサムウェア攻撃を特定の集団に正式に帰属させるには至っていません。

8月18日、CISAはCVE-2026-59310を既知の悪用脆弱性カタログに正式に登録しました。同庁はその後、米連邦政府機関に対し脅威を排除するよう厳格な3日間の期限を課しています。現時点でShadowserverは、450台を超えるvCenterサーバーが依然としてインターネットに公開されたままであると特定していますが、そのうち必要な更新を適用済みのサーバーがどれだけの割合を占めるかは不明です。

仮想化インフラに迫る脅威の高まり

Broadcomは公式の推奨事項の中で、CVE-2026-59310に対する緩和策が一切存在しないことをあらためて強調しています。高度な組織力を持つランサムウェア集団による悪用がすでに確認されている以上、パッチ未適用のvCenterサーバーは、理論上の侵入口から一転して、企業の仮想インフラの中枢へと直結する実証済みの舗装道路と化しています。

これと不穏なほど似た経緯は、2026年の早い時期にもすでに起きていました。その際には、別の重大なvCenterの脆弱性が、公式パッチの公開後も何カ月にもわたって放置されたまま積極的に悪用され続けていました。この集中管理サーバーは、企業ネットワーク全体に攻撃を水平展開させるための、一貫して極めて実入りの良い標的であり続けています。

ランサムウェアの攻撃者は、仮想化技術への関心を組織的に強めています。Mandiantの調査によれば、仮想化環境を明確に標的とした攻撃の痕跡は、2025年のランサムウェア被害全体の43%で確認されており、前年の29%から大幅に増加しています。数多くの個別事案において、犯罪者はvCenter経由で境界を突破し、ESXiのrootパスワードを周到に変更したうえですべてのバックアップを組織的に削除し、その後になって初めて破滅的な暗号化処理を開始していました。

今年の夏には、Toy Ghoulsという集団も同様に高度に特化した狙いを示しました。同集団が独自開発したランサムウェア「GenieLocker」には、Windows、Linux、VMware ESXiそれぞれに対応した専用の亜種が存在し、仮想マシンを自律的に停止させたうえで仮想ディスクを暗号化するという、ぞっとするような能力を備えていました。現代のランサムウェア攻撃者にとって、仮想化レイヤーはもはや単なる副次的な標的ではなく、破壊的な攻撃における主要な焦点へと決定的に変貌を遂げているのです。