概要
Broadcomは7月29日、VMware vCenterとESXiに存在する複数の脆弱性を修正するセキュリティアップデートを公開した。中でも深刻なのは、vCenterのVMware Directory Serviceにおける認証バイパスの脆弱性(CVE-2026-59309)と、vCenterのSyslogサーバーに存在するディレクトリトラバーサルの脆弱性(CVE-2026-59310)で、いずれもCVSSスコアは最高水準の9.8。ネットワークにアクセスできれば認証情報なしに悪用可能で、前者は管理基盤への不正アクセスを、後者は任意のコード実行を招く。あわせて、ESXiのVMXNET3仮想ネットワークアダプタに境界外書き込みの欠陥(CVE-2026-47876、CVSS 9.3)も見つかっており、VM内で管理者権限を持つ攻撃者がホスト側であるESXiに対してコードを実行する「VMエスケープ」を引き起こす恐れがある。Broadcomは現時点でこれらの脆弱性が実際に悪用された形跡はないとしているが、有効な回避策が存在しないため、パッチの適用を急ぐよう呼びかけている。
脆弱性の詳細
今回の一連の脆弱性のうち、特に警戒すべきは前述の3件のクリティカルな欠陥だ。CVE-2026-59309とCVE-2026-59310は、vCenter Server 8.0系、VMware Cloud Foundation/vSphere Foundation 9.0系・9.1系など、対象範囲が広く、いずれもネットワーク経由でアクセスできれば悪用できる点が危険性を高めている。CVE-2026-47876はVMXNET3アダプタを利用する仮想マシン内で管理者権限を握った攻撃者が、ハイパーバイザーであるESXiホスト自体でコードを実行できてしまうというもので、マルチテナント環境やクラウド基盤において特に深刻な影響を及ぼしうる。このほか、ESXiやWorkstation、Fusionに影響する境界外読み取りの脆弱性CVE-2026-41703(ESXiでCVSS 7.6、情報漏えいまたはサービス拒否)、ESXi管理者による操作を記録しないロギング不備のCVE-2026-41709(CVSS 2.7)も併せて修正されている。
対象バージョンと修正版
修正版は、vCenterがバージョン9.1.0.0300、9.0.2.0100、8.0 Update 3k、ESXiが9.1.0.0200、9.0.2.0100、8.0 Update 3k、Workstation/Fusionが26H1となっている。VMware Cloud Foundationやvサーバー Foundation、Telco向け製品も影響を受けるため、該当する管理者はBroadcomのセキュリティアドバイザリで自社環境のバージョンを確認する必要がある。Broadcomはこれらの問題をITILの分類でいう「緊急変更」に相当するとし、迅速な対応を強く推奨している。有効な回避策は用意されていないため、パッチ適用が唯一の対策となる。なお、vCenterへのパッチ適用時には管理インターフェースが一時的に利用できなくなるほか、ESXi側の更新にはサーバーの再起動が必要となる。ダウンタイムを抑えたい場合はESX Live Patchの利用が案内されている。また、VMware Cloud Foundation 9.x環境をvSphere 8.0/9.0上で運用している場合は、アップグレード時の互換性にも注意が必要だとされている。
今後の展望
VMware製品は仮想化基盤の中核を担うことが多く、過去にも脆弱性が公開直後から攻撃者に狙われるケースが繰り返し報告されてきた。今回のBroadcomのアドバイザリでも、脅威アクターがVMware製品の脆弱性を頻繁に悪用してきた経緯に言及されており、現時点で実際の悪用は確認されていないものの、パッチ未適用の環境が今後の標的になる可能性は高い。特に認証バイパスや直接のコード実行につながる欠陥は、公開情報をもとにした概念実証(PoC)コードが出回りやすく、悪用までの時間が短縮される傾向がある。vCenterやESXiを運用する組織は、休止期間を確保したうえで速やかにパッチを適用し、あわせてログの監視体制を強化することが求められる。