Broadcomは2026年7月29日、VMware vCenterやESXなどに影響する5件の脆弱性を修正しました。このうち3件はCriticalに分類され、認証を回避した不正アクセス、任意コードの実行、仮想マシンからホストへの侵入につながる可能性があります。回避策は用意されておらず、対象製品を運用する組織には速やかな更新が求められています。The Hacker News：Three Critical VMware Flaws Allow Auth Bypass, Code Execution, and VM Escape
この記事のポイント
影響のあるシステム
- VMware vCenter Server 8.0
- VMware Cloud FoundationおよびVMware vSphere FoundationのvCenter 9.0.x.x、9.1.x.x
- VMware Cloud Foundation 5.x
- VMware ESX 8.0
- VMware Cloud FoundationおよびVMware vSphere FoundationのESX 9.0.x.x、9.1.x.x
- VMware Workstation 25H2
- VMware Fusion 25H2
- 対象バージョンのVMware Telco Cloud PlatformおよびVMware Telco Cloud Infrastructure
推奨される対策
- Broadcomのセキュリティアドバイザリ「VMSA-2026-0006.1」を確認し、製品ごとの修正版を適用する
- vCenter 9.1系を9.1.0.0300、9.0系を9.0.2.0100へ更新する
- vCenter 8.0を8.0 U3kまたは対象系列に対応する8.0 U2fへ更新する
- ESX 8.0でCVE-2026-47876の影響を受ける環境は、8.0 U3kまたは対象系列に対応する8.0 U2fへ更新する
- VMware WorkstationおよびVMware Fusionの対象環境を26H1へ更新する
- パッチ適用までの期間を通常の定期更新として扱わず、緊急変更として対応する
- 更新後にvCenter、ESXホスト、仮想マシンの稼働状況と管理ログを確認する
Broadcomは対象となる5件の脆弱性について、利用可能な回避策を案内していません。修正版は製品や系列によって異なるため、実際のビルド番号を公式の対応表と照合する必要があります。上記の対策は、元記事およびBroadcomの公式情報に基づき日本の読者向けに整理したものです。
この記事に出てくる専門用語
- CVE：公表された脆弱性を識別するために割り当てられる共通の番号です。
- CVSS：脆弱性の深刻度を数値で評価する仕組みです。今回の最高スコアは9.8です。
- vCenter：複数のVMware ESXホストや仮想マシンを集中的に管理するための製品です。
- ESX：物理サーバー上で複数の仮想マシンを稼働させるVMwareのハイパーバイザー製品です。
- 認証回避：本来必要なログインや本人確認を通過せず、システムへアクセスできる状態を指します。
- ディレクトリトラバーサル：ファイルパスの処理を悪用し、本来アクセスできないファイルや領域へ到達する攻撃手法です。
- 境界外書き込み：プログラムが確保された範囲を超えてメモリへデータを書き込む問題です。コード実行やシステム停止につながる場合があります。
- 境界外読み取り：プログラムが許可された範囲外のメモリを読み取る問題です。情報漏えいやサービス停止につながる可能性があります。
- VM Escape：仮想マシン内の攻撃者が隔離境界を越え、仮想化ホスト側へ影響を及ぼすことです。
- VMXNET3：VMware環境で使用される準仮想化ネットワークアダプターです。
vCenterの管理機能を狙う2件のCVSS 9.8脆弱性
今回修正された脆弱性のうち、vCenterに影響するCVE-2026-59309とCVE-2026-59310には、いずれもCVSS 9.8という高い評価が付けられています。vCenterは複数のESXホストや仮想マシンを一元的に管理する中核システムであるため、不正アクセスが成立した場合、単一サーバーの問題にとどまらず、仮想化環境全体の管理へ影響する可能性があります。
CVE-2026-59309は、VMware Directory Serviceに存在する認証回避の脆弱性です。攻撃者がネットワーク経由でvCenterへ接続できる場合、認証を回避して権限のない状態からシステムへアクセスできる可能性があると説明されています。攻撃に正規アカウントが必要であるとはされていないため、vCenterの管理インターフェースを広いネットワークへ公開している環境では、特に優先度の高い対応が必要です。
CVE-2026-59310は、vCenterのSyslogサーバーに存在するディレクトリトラバーサルの脆弱性です。ネットワークへ接続できる攻撃者が悪用した場合、vCenter上で任意のコードを実行できる可能性があります。認証回避とコード実行は別々の脆弱性として公表されていますが、いずれも管理基盤そのものを危険にさらす問題です。
Broadcomは両脆弱性について回避策を提供しておらず、公式の対応表に記載された修正版の適用を求めています。vCenter 9.1系では9.1.0.0300、9.0系では9.0.2.0100、vCenter 8.0では8.0 U3kおよび対象系列向けの8.0 U2fが案内されています。VMware Cloud Foundation 5.xでは、対応する非同期パッチの適用が必要です。
仮想マシンからホストへ到達するVM Escapeの危険性
3件目のCritical脆弱性であるCVE-2026-47876は、VMware ESXのVMXNET3仮想ネットワークアダプターに存在する境界外書き込みの問題です。CVSSスコアは9.3で、VMXNET3を使用する仮想マシン内でローカル管理者権限を持つ攻撃者が、ESXホスト上でコードを実行できる可能性があります。Broadcomは、この問題を仮想マシンの隔離境界を越える「VM Escape」として説明しています。
この脆弱性を単独で悪用するには、攻撃者が対象の仮想マシン内ですでに管理者権限を取得している必要があります。そのため、vCenterの認証回避とは攻撃条件が異なります。しかし、WebアプリケーションやOSの別の脆弱性、認証情報の窃取などを通じて仮想マシンが侵害されている場合、攻撃者が次の段階としてホスト側への侵入を試みる可能性があります。
複数の顧客や業務システムを同じホスト上で稼働させている環境では、ホストへのコード実行が成立した場合、ほかの仮想マシンにも影響が及ぶ恐れがあります。一方、Broadcomの公式情報では、VMXNET3以外の仮想ネットワークアダプターはCVE-2026-47876の影響を受けないとされています。ただし、アダプターを変更する方法は公式の回避策として示されておらず、修正版の適用が基本的な対応となります。
修正版として、ESX 9.1系にはESXi-9.1.0.0200-25557999、9.0系にはESXi-9.0.2.0100-25595025、ESX 8.0にはESXi80U3k-25595708などが案内されています。Broadcomのアドバイザリは2026年8月3日に更新され、ESX 8.0 U2f向けの追加パッチ情報も掲載されています。管理者は製品名だけで判断せず、現在の更新系列とビルド番号を確認する必要があります。
国内組織が確認すべき更新範囲と運用上の注意点
今回のアドバイザリには、Criticalの3件以外にも2件の脆弱性が含まれています。CVE-2026-41703は境界外読み取りの問題で、ESXでは情報漏えいまたはホストプロセスのサービス拒否につながる可能性があります。悪用には仮想マシンを展開する権限が必要です。VMware WorkstationとFusionでは影響が情報漏えいに限定され、対象となる25H2から26H1への更新が案内されています。
CVE-2026-41709は、ESXのログ記録が不十分となる脆弱性です。悪意のある管理者が一部の操作をログへ残さずに実行できる可能性があり、CVSSスコアは2.7と評価されています。直接的なコード実行とは異なりますが、インシデント発生時の追跡や監査を妨げる恐れがあるため、Criticalの脆弱性とあわせて修正する必要があります。
The Hacker Newsによると、Broadcomは公表時点で、今回の脆弱性が実際の攻撃に悪用されたことを示す証拠は確認していないとしています。ただし、悪用の証拠がないことは、今後の攻撃が発生しないことを意味しません。脆弱性の詳細と修正版が公開されると、攻撃者が情報を分析して悪用方法を開発する可能性があるため、外部公開の有無だけで更新を先送りするのは適切ではありません。
更新時には、vCenterとESXを同じバージョン番号として一括判断しないことが重要です。今回のアドバイザリでは、脆弱性ごとに対象コンポーネントと修正版が異なります。VMware Cloud FoundationやTelco Cloud製品では、個別のナレッジベースや非同期パッチ手順も案内されています。保守前に構成情報とバックアップを確認したうえで、Broadcomの対応表に沿って適用し、更新後にはvCenterへのログイン、ホスト接続、仮想マシンの通信、監視ログの出力が正常であることを確認してください。
参考文献・記事一覧
投稿者プロフィール
-
CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。
■ 情報セキュリティサービス台帳登録事業者
■ セキュリティコンテスト受賞歴
CTF国際大会 世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10
■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）
