VMware ESXの記録回避の脆弱性、低い評価でも悪用を確認

やること

VMware ESX は1台のサーバーで多くの仮想サーバーを動かす基盤ソフトです。7月の修正を当てていない場合は更新してください。

• この脆弱性の修正版は上の表のとおりです
• 同じアドバイザリの CVE-2026-47876（CVSS 9.3）まで直すには、8.0 は ESXi80U3k-25595708、9.1系は ESXi-9.1.0.0200-25557999 が必要です
• vCenter の CVE-2026-59309 と CVE-2026-59310（どちらも CVSS 9.8）も、同じアドバイザリで直っています

何が危ないのか

CVE-2026-41709 はログの記録が足りない欠陥で、管理者の権限を持つ攻撃者が一部の操作を記録に残さず実行できます。Broadcom の評価は Low で、CVSS は 2.7 です。攻撃に高い権限が必要で、情報の漏れはなく、改ざんへの影響も小さいと見られているため、点数は低くなっています。同社は7月29日に修正を公開しました。

CrowdStrike は10月28日に、中国系の攻撃グループ WARP PANDA がこの欠陥を修正前から悪用していたと公表しました。遅いものでは2026年初めまで続いています。狙われたのは米国の組織で、法律分野も含まれます。同社の報告は、ESX のコマンドの記録を回避する欠陥だと述べるにとどまり、技術的な詳細までは示していません。Broadcom のアドバイザリには、この欠陥を見つけた報告者として CrowdStrike の担当者の名前があります。米国の CISA も同じ日に、悪用が確認された脆弱性の一覧（KEV）へ追加しました。

この欠陥だけで侵入されるわけではありませんが、記録が残らないとあとから調べる手がかりが減ります。更新しても、過去に記録されなかった操作は戻りません。

同じアドバイザリの重大な欠陥

Broadcom のアドバイザリ VMSA-2026-0006 は、重大度の最高が Critical で、CVSS は 2.7 から 9.8 までの幅があります。評価が高い3件は、ログの欠陥とは性格が違います。

• CVE-2026-47876（CVSS 9.3）：ESX の仮想ネットワークアダプタ VMXNET3 の範囲外書き込みです。VMXNET3 を持つ仮想サーバー上のローカル管理者が、ホスト上でコードを実行できるおそれがあります。ほかの種類のアダプタは影響を受けません
• CVE-2026-59309（CVSS 9.8）：vCenter のディレクトリサービスの認証回避です。ネットワークから届けば、認証なしでアクセスされるおそれがあります
• CVE-2026-59310（CVSS 9.8）：vCenter の Syslog サーバーのパス処理の欠陥です。ネットワークから届けば、任意のコードを実行されるおそれがあります

アドバイザリには悪用が確認されたという記載がありません。ただ、vCenter の2件は、ネットワークから届くだけで攻撃できるとされています。vCenter への接続元を絞れているかも、あわせて確かめてください。なお、CVE-2026-59309 は vCenter 9.1.0.0200 で初めて直り、アドバイザリの時点の最新は 9.1.0.0300 です。

対象

上の表の製品が対象で、回避策はありません。この脆弱性の一覧に ESX 7.0 の行はありません。7.0 については、Critical の3件の修正版も公開されていません。延長サポートの契約がある場合は、Broadcom のサポートに問い合わせるよう、8月19日の改訂（.2）で案内が加わっています。