概要
VMware vCenter Serverに存在する認証不要のリモートコード実行脆弱性CVE-2026-59310(CVSS 9.8)について、CISAはランサムウェアグループによる新たな悪用を確認したと警告した。この脆弱性はvCenterのSyslogサーバーに存在するディレクトリトラバーサルの欠陥で、Broadcomは2026年7月29日にパッチを公開していたが、その後も悪用が続いている。当初は国家支援型のスパイ活動グループが持続的アクセスの確立に利用していたが、9月中旬にはランサムウェアギャングによる積極的な悪用へと標的の性質が変化したことが明らかになった。
悪用の経緯と被害状況
DFIR企業QUIRSOは8月中旬、この脆弱性を突いた侵害の兆候が47カ国361件のIPアドレスで確認されたと報告していた。この段階の攻撃者はリバースSSHツールをデプロイし、長期的な遠隔アクセスと持続性の確保を主目的としていたとみられる。これに続き、CISAは同脆弱性をKEV(既知悪用脆弱性)カタログに登録し、「ランサムウェアキャンペーンで使用されている」と明記した。連邦政府機関に対しては通常より大幅に短い3日以内の対応を命じており、脅威の深刻さと緊急性の高さがうかがえる。インターネットスキャンサービスのShadowserverによれば、現時点でも450台以上のVMware vCenterサーバーがオンラインに公開されたままとなっており、そのうちどれだけがパッチ未適用のまま残っているかは不明だという。
リスクと対策
vCenterは仮想化基盤全体を統括する管理コンソールであるため、単一サーバーの侵害が企業ネットワーク全体へのアクセスや複数の仮想マシンの侵害、機密データの窃取につながりかねない。ランサムウェア集団にとっては、一度の侵入で広範囲かつ重要度の高いシステムを掌握できる効率の良い標的であり、これが今回スパイ活動グループに続いてランサムウェアグループも標的化を進めた背景にあるとみられる。CISAは組織に対し、セキュリティ更新プログラムの即時適用、インターネットに公開されたvCenterインスタンスの棚卸し、侵害の痕跡調査を求めており、通常の変更管理プロセスを迂回してでも緊急パッチ適用を優先するよう推奨している。パッチ自体は7月末から提供されているため、今回の警告は未対応の組織に残された猶予がほとんどないことを改めて示す内容といえる。