概要
BroadcomのVMware vCenterに存在する重大なディレクトリトラバーサル脆弱性「CVE-2026-59310」（CVSSスコア9.8）が、パッチ公開からわずか5日後には実際の攻撃キャンペーンで悪用され始めていたことが、ドイツのデジタルフォレンジック企業QUIRSOの調査で明らかになった。Broadcomは2026年7月29日に脆弱性を公開し修正パッチをリリースしたが、攻撃者は8月3日には侵害を開始しており、8月3日から5日にかけて被害の約95%が集中して発生した。QUIRSOはこれまでに47か国361件の被害者IPアドレスを確認しており、特にドイツ、米国、トルコ、イラン、フランスの5か国だけで185件と過半数を占めている。8月4日単日だけで151件もの新規被害が確認されるなど、キャンペーンは急速に拡大した。QUIRSOのCOOであるDenis Szadkowski氏は「われわれが調査した活動は単なる悪用の試みではなく、実際に侵害が成功したことを示すものであり、フォレンジック証拠はCVE-2026-59310が初期侵入経路であることを強く裏付けている」と述べている。
技術的な詳細
CVE-2026-59310はvCenterのSyslogサーバーに存在するディレクトリトラバーサルの欠陥で、ネットワークアクセスさえあれば認証なしで任意のコードを実行できてしまう。攻撃者はまずこの脆弱性を突いてパストラバーサルを行い、悪意あるcronジョブを仕込んで永続化を図った上で、オープンソースのSSHトンネリングツール「reverse_ssh」を導入して攻撃者インフラへのリバースSSH接続を確立していた。reverse_sshはアウトバウンド方向の接続を利用するため、多くの環境で設定されている受信トラフィックのアクセス制御を回避できる点が悪用の狙いとみられる。VMware vCenterは仮想マシンやESXiサーバー、組織全体のアクセス権限を一元管理する中枢インフラであるため、侵害された場合の影響範囲は極めて大きい。QUIRSOは高度な持続的脅威(APT)アクターの関与を疑っているが、法執行機関との調整のため、現時点で具体的な痕跡情報(IOC)の公開は控えているという。
対応策と今後の展望
Broadcomは本脆弱性に対する回避策(ワークアラウンド)を提供しておらず、緊急パッチの適用が唯一の対策となる。修正済みバージョンはvCenter 9.1系が9.1.0.0300、9.0系が9.0.2.0100、8.0系がU3kまたはU2f(ブランチにより異なる)である。セキュリティ企業SectigoのシニアフェローJason Soroko氏は「パッチを適用するだけでは問題は解決しない。脆弱性そのものを塞ぐタイムラインと、すでに侵入した攻撃者を排除するタイムラインという、2つの時計を並行して管理する必要がある」と警鐘を鳴らしている。管理者は単にパッチを適用するだけでなく、脆弱なvCenterアプライアンス上でreverse_sshのような不審なツールのインストールや、想定外のアウトバウンド通信がないかを速やかに確認し、侵害の痕跡調査を行うことが強く推奨される。