VMware vCenterに認証回避とRCEの脆弱性、CVE-2026-59309とCVE-2026-59310はCVSS 9.8

Broadcomは2026年7月29日、VMware vCenter、ESX、Workstation、Fusionに影響する5件の脆弱性を修正したセキュリティアドバイザリVMSA-2026-0006を公開しました。vCenterのCVE-2026-59309は認証を回避してシステムへ不正アクセスできる脆弱性、CVE-2026-59310はネットワーク経由で任意コード実行につながるディレクトリトラバーサルの脆弱性で、いずれもCVSS v3.1の基本値は9.8です。ESXのCVE-2026-47876は、VMXNET3仮想ネットワークアダプターを使用する仮想マシンの管理者権限を持つ攻撃者が、ホスト上でコードを実行できるVMエスケープに当たります。Broadcomは5件すべてについて回避策なしと案内しており、対象環境では修正版の適用が必要です。本稿執筆時点で実際の悪用は確認されていません。

VMwareのCVE-2026-59309とCVE-2026-59310の概要サマリー

• Broadcomは2026年7月29日、VMSA-2026-0006を公開しました
• vCenterのCVE-2026-59309はVMware Directory Serviceの認証回避脆弱性です
• vCenterのCVE-2026-59310はSyslogサーバーのディレクトリトラバーサル脆弱性です
• CVE-2026-59309とCVE-2026-59310のCVSS v3.1基本値はいずれも9.8です
• 両脆弱性はネットワークから到達可能で、CVE-2026-59310は任意コード実行につながります
• ESXのCVE-2026-47876はVMXNET3を介した境界外書き込みで、CVSS基本値は9.3です
• CVE-2026-47876は仮想マシンのローカル管理者からESXホストへ到達できるVMエスケープです
• CVE-2026-41703はESX、Workstation、Fusionの境界外読み取りです
• CVE-2026-41709はESXのログ記録不備です
• 5件すべてにBroadcomが提供する回避策はありません
• vCenter 8.0は8.0 U3k、9.0系は9.0.2.0100、9.1系は9.1.0.0300への更新が必要です
• Workstation 25H2とFusion 25H2は26H1で修正されています
• Broadcomは実環境での悪用を示す情報を把握していないと説明しています
• vSphere 7.0はサポート終了済みですが影響を受けます

項目	内容
アドバイザリ	VMSA-2026-0006
公開日	2026年7月29日
対象製品	VMware ESX、vCenter、Workstation、Fusion
関連製品	VMware Cloud Foundation、vSphere Foundation、Telco Cloud Platform、Telco Cloud Infrastructure
対象CVE	CVE-2026-59309、CVE-2026-59310、CVE-2026-47876、CVE-2026-41703、CVE-2026-41709
最大CVSS基本値	9.8 Critical
最も深刻な影響	認証回避、vCenter上の任意コード実行、ゲストVMからESXホストへのコード実行
攻撃元	ネットワークまたは仮想マシン内部
認証の要否	vCenterの2件は事前認証不要
回避策	なし
実際の悪用状況	本稿執筆時点で未確認
修正方法	Broadcomが示す修正版またはそれ以降の累積更新を適用
vCenter更新時の影響	管理画面は一時停止するが、稼働中のVMとコンテナは継続動作
ESX更新時の影響	原則としてホスト再起動が必要
注意点	一部更新には将来のVCF 9.xへの更新を妨げるback in time制限がある

BroadcomがVMSA-2026-0006を公開

Broadcomは、VMware ESX、vCenter、Workstation、Fusionで確認された5件の脆弱性が非公開で報告され、修正版を公開したと説明しています。

対象コンポーネントを含むVMware Cloud Foundation、VMware vSphere Foundation、VMware Telco Cloud Platform、VMware Telco Cloud Infrastructureも影響を受けます。

アドバイザリ全体の深刻度はCriticalで、個別のCVSS v3.1基本値は2.7から9.8です。vCenterの2件はネットワークから到達でき、事前認証を必要としません。ESXのCVE-2026-47876は仮想マシン内部の管理者権限が必要ですが、ゲストとホストの境界を越えられる可能性があります。

CVE-2026-59309はvCenterの認証回避

CVE-2026-59309は、vCenterのVMware Directory Serviceに存在する認証回避の脆弱性です。

Broadcomによると、vCenterへネットワークアクセスできる攻撃者が認証を回避し、システムへ不正アクセスできる可能性があります。CVSS v3.1の基本値は9.8で、深刻度はCriticalです。

vCenterは、ESXホスト、仮想マシン、データストア、ネットワーク、クラスタ、権限、テンプレートなどを一元管理する中枢です。不正アクセスが成立した場合、単一サーバーの侵害にとどまらず、管理対象の仮想基盤全体へ影響が広がる可能性があります。

攻撃者が取得できる権限や実行可能な操作の詳細は公開されていません。認証回避が直ちに最上位の管理者権限を意味するとは限りませんが、正規の認証を経ずにvCenterへ到達できる点は重大です。

CVE-2026-59310はSyslogサーバーから任意コード実行

CVE-2026-59310は、vCenterのSyslogサーバーに存在するディレクトリトラバーサルの脆弱性です。

ネットワークからvCenterへ到達できる攻撃者が悪用すると、任意コードを実行できる可能性があります。CVSS v3.1の基本値は9.8で、深刻度はCriticalです。

Broadcomは、ファイル読み取りや書き込みの具体的な処理、コード実行までの攻撃経路を公開していません。脆弱性の再現に必要なリクエストや攻撃コードも公表されていないため、本記事では悪用手順を扱いません。

CVE-2026-59309とCVE-2026-59310は、Atredis PartnersのPhil Brass氏とMatt South氏が報告しました。

vCenterの侵害が仮想基盤全体へ波及する理由

vCenterへの管理アクセスを奪われると、仮想マシンの停止・削除、スナップショット作成、ネットワーク変更、ISOイメージの接続、バックアップ停止、アカウント追加などへ悪用される可能性があります。

vCenterをインターネットへ直接公開していない場合でも、VPN、踏み台サーバー、管理端末、保守事業者の接続が侵害されれば到達される可能性があります。管理ネットワーク内にあることだけを理由に対応を遅らせるべきではありません。

セキュリティ対策Labでは、過去に悪用が確認されたvCenter ServerのCVE-2024-37079も取り上げています。仮想基盤の管理中枢にある脆弱性は、公表から時間が経過した後に攻撃へ組み込まれる可能性があります。

CVE-2026-47876はVMXNET3を介したVMエスケープ

CVE-2026-47876は、ESXのVMXNET3仮想ネットワークアダプターに存在する境界外書き込みの脆弱性です。

VMXNET3を使用する仮想マシン内部でローカル管理者権限を持つ攻撃者が悪用すると、ESXホスト上でコードを実行できる可能性があります。CVSS v3.1の基本値は9.3で、深刻度はCriticalです。

BroadcomのFAQは、この脆弱性をVMエスケープに該当すると明確に説明しています。攻撃には対象仮想マシン内のローカル管理者権限が必要で、インターネットから一つのリクエストを送るだけでESXを侵害できる脆弱性ではありません。

一方、公開サーバーやVDI、開発環境などの仮想マシンが別の脆弱性や認証情報窃取によって侵害された場合、ホストへ攻撃を拡大する手段として利用される可能性があります。

VMXNET3以外の仮想ネットワークアダプターはCVE-2026-47876の影響を受けません。ただし、Broadcomはe1000などへ変更することを一般的な対策として推奨していません。他の仮想デバイスにも脆弱性が発生する可能性があり、性能上の利点も失われるためです。恒久対応はESXの更新です。

この脆弱性はSTARLabs SGのNguyen Hoang Thach氏が、Zero Day InitiativeのPwn2Ownを通じて報告しました。

VMware Toolsの更新だけでは修正できない

VMXNET3にはゲストOS側のドライバーがありますが、CVE-2026-47876の問題はESX側にあります。

Broadcomは、VMware Toolsを更新しても今回の脆弱性は修正されず、ESXの更新が必要だと説明しています。

VMware ToolsやゲストOSが提供するVMXNET3ドライバーを最新に保つことは通常の保守として重要ですが、今回の対応をゲストOS内の更新だけで完了させることはできません。

CVE-2026-41703は情報漏えいまたはDoS

CVE-2026-41703は、VMware ESX、Workstation、Fusionに存在する境界外読み取りの脆弱性です。

ESXでは、仮想マシンを展開する権限を持つ攻撃者が問題を引き起こし、情報漏えいまたはホストプロセスのサービス拒否につながる可能性があります。ESXにおけるCVSS v3.1基本値は7.6で、深刻度はImportantです。

Broadcomは、CVE-2026-41703についてホスト上のコード実行はできず、VMエスケープではないと説明しています。

WorkstationとFusionでは影響が情報漏えいに限定され、CVSS基本値は2.7、深刻度はLowです。対象となるWorkstation 25H2とFusion 25H2は、26H1で修正されています。

CVE-2026-41709はESXのログ記録不備

CVE-2026-41709は、ESXのログ記録が不十分な脆弱性です。

悪意のある管理者が特定の操作を行った場合、その操作がログへ記録されない可能性があります。CVSS v3.1の基本値は2.7で、深刻度はLowです。

この脆弱性だけで管理者権限を取得できるわけではありませんが、管理者アカウントが侵害された場合や内部不正が発生した場合に、操作履歴を残さず変更を行われる可能性があります。

仮想基盤では管理操作の記録がインシデント調査、内部統制、監査、変更管理の根拠になるため、同じ保守作業で修正する必要があります。

vCenterの影響バージョンと修正版

vCenterのCVE-2026-59309とCVE-2026-59310について、Broadcomが示した主な修正版は次のとおりです。

製品・構成	影響する系列	修正版
VMware Cloud Foundation / vSphere FoundationのvCenter	9.1.x.x	9.1.0.0300
VMware Cloud Foundation / vSphere FoundationのvCenter	9.0.x.x	9.0.2.0100
VMware vCenter	8.0	8.0 U3k
VMware Cloud Foundation	5.x	KB88287に従い8.0 U3kを非同期適用
VMware Telco Cloud Platform	3.0、4.x、5.0.x、5.1.x	KB449886に従いvCenter 8.0 U3kを適用
VMware Telco Cloud Infrastructure	3.0	KB449886に従いvCenter 8.0 U3kを適用

CVE-2026-59309は9.1.0.0200で最初に修正されましたが、Broadcomは累積更新である最新の9.1.0.0300を案内しています。

ESXの影響バージョンと修正版

ESXでは、CVE-2026-47876、CVE-2026-41703、CVE-2026-41709が対象です。

製品・構成	影響する系列	推奨する修正版
VMware Cloud Foundation / vSphere FoundationのESX	9.1.x.x	ESXi-9.1.0.0200-25557999以降
VMware Cloud Foundation / vSphere FoundationのESX	9.0.x.x	ESXi-9.0.2.0100-25595025以降
VMware ESXi	8.0	ESXi80U3k-25595708以降
VMware Cloud Foundation	5.x	KB88287に従って非同期パッチを適用
VMware Telco Cloud Platform	5.0.x、5.1.x	KB449886に従って更新

ESXi 8.0では、CVE-2026-41703はU3i、CVE-2026-41709はU3j、CVE-2026-47876はU3kで修正されています。U3kは後に公開された累積更新であるため、3件をまとめて解消する場合はU3k以降を確認します。

HPE SimpliVityやDell EMC VxRailなどの統合製品では、各ベンダーによる互換性検証と更新手順を確認してください。

WorkstationとFusionは26H1へ更新

VMware Workstation 25H2とVMware Fusion 25H2は、CVE-2026-41703の影響を受けます。修正版はWorkstation 26H1とFusion 26H1です。

サーバー仮想基盤のvCenterやESXと比べると優先度は低いものの、開発端末や検証端末では信頼できない仮想マシンや外部から入手したイメージを起動することがあります。利用者が管理するPCだけでなく、開発部門、サポート部門、マルウェア解析環境に残る旧版も棚卸ししてください。

セキュリティ対策Labでは、2026年5月に公開されたVMware Fusionの権限昇格脆弱性CVE-2026-41702も取り上げています。

vSphere 7.0以前も安全とは判断できない

BroadcomのFAQによると、vSphere 7.0は2025年10月2日に一般サポートを終了していますが、今回の脆弱性の影響を受けます。

延長サポート契約を持つ組織は、その手続きを通じて修正を依頼する必要があります。

vSphere 6.5と6.7について、Broadcomは影響を受けるものと想定するよう案内しています。サポート終了製品は通常のセキュリティアドバイザリの評価対象に含まれないため、一覧に記載されていないことを影響なしの根拠にはできません。

回避策はなく更新が必要

Broadcomは5件すべてについて、製品側の回避策を提供していません。

ファイアウォール、管理ネットワーク分離、接続元制限などの補完的対策は攻撃機会を減らしますが、脆弱性そのものを修正するものではありません。

BroadcomのFAQは、今回の対応をITIL上の緊急変更として扱い、迅速に行動するよう求めています。

vCenterへ到達できるネットワークを管理端末と踏み台サーバーに限定し、インターネットや一般利用者ネットワークからの通信を遮断する対策は、パッチ適用までの間も必要です。ESXの管理インターフェースも同様に、管理専用ネットワークへ分離します。

vCenterの2件はEnhanced Linked ModeやIntegrated Windows Authenticationの利用有無に関係なく影響します。Active Directory連携を使用していない、単一vCenterで運用しているという理由で対象外にはなりません。

Broadcomは実際の悪用を未確認

Broadcomは補足FAQで、本稿執筆時点において5件が実環境で悪用されたことを示す情報を把握していないと説明しています。

脆弱性は非公開で報告され、修正版と同時に公表されました。

ただし、vCenterの2件はネットワーク経由かつ認証不要で、最大CVSS基本値は9.8です。公表後に修正版が解析され、脆弱な処理を特定される可能性があります。実悪用が未確認であることを、対応を延期する理由にはできません。

vCenterやESXiはランサムウェア攻撃でも狙われてきました。セキュリティ対策Labでは、VMware ESXiのCVE-2024-37085がBlack BastaやAkiraなどに悪用された事例を取り上げています。

仮想基盤が侵害されると、複数の仮想マシンを短時間で停止・暗号化され、バックアップや管理基盤も同時に影響を受ける可能性があります。

vCenter更新中も仮想マシンは稼働を継続

Broadcomによると、vCenterの更新中はvSphere Clientなどの管理機能を一時的に利用できなくなります。

一方、稼働中の仮想マシンとコンテナワークロードは継続して動作します。vCenter更新の影響を、すべての仮想サーバー停止と同一視する必要はありません。

管理操作ができない時間帯を業務部門へ通知し、バックアップ、監視、DR、自動化ツールへの影響を確認したうえで、緊急メンテナンスを計画できます。

今回のvCenter更新はQuick Patchの対象外です。従来のパッチ方式または構成済みの場合はReduced Downtime Upgradeを使用します。

ESX更新は再起動とVM移動を計画

ESXの更新では、原則としてホスト再起動が必要です。

クラスタ環境ではvMotionを使って仮想マシンを別ホストへ移動し、ホストを順番に更新するローリング方式を検討します。vMotionを利用できない仮想マシンは、ホスト再起動に合わせて停止が必要です。

一部のESX更新はLive Patchに対応しています。環境と更新元・更新先の組み合わせによって利用可否が異なるため、リリースノートを確認してください。

パッチ適用前には、クラスタ容量、HA、DRS、vSAN、バックアップ、監視、ハードウェア互換性を確認します。

更新順序は互換性マトリクスで判断

従来はvCenterを先に更新し、その後ESXを更新する順序が一般的でした。

Broadcomは、現在の製品ではESXを先に更新できる組み合わせもあるため、VMware Product Interoperability Matrixで互換性を確認するよう案内しています。

大規模なESX環境では、vCenterを先に更新し、複数クラスタのホスト更新を並行して進める方が効率的な場合があります。

vCenterのメンテナンスウィンドウをすぐに確保できない場合は、互換性を確認したうえでESX更新を先行させる選択肢もあります。

vSANを使用する環境では、vCenterとESXだけでなく、vSANの互換性も確認してください。

back in time制限に注意

BroadcomのFAQは、VMSA-2026-0006のvSphere 8.0と9.0向け更新に、back in timeと呼ばれる更新制限が発生すると説明しています。

これは、適用したパッチのビルド番号が、将来予定しているVMware Cloud Foundation 9.xの更新先より新しくなり、通常の更新処理が古いビルドへの移行と判断して拒否する問題です。

後続リリースで互換性は回復する予定ですが、VCF 9.xへの移行作業中の組織は、セキュリティ更新と移行スケジュールの両方を確認する必要があります。

この制限があることを理由にCritical脆弱性の修正を長期間延期するのは危険です。BroadcomのKBと互換性マトリクスを確認し、必要に応じてサポートへ問い合わせてください。

侵害の有無を確認

vCenterやESXを管理ネットワーク外から到達可能にしていた場合は、更新と並行して侵害の有無を確認します。

Broadcomは今回の脆弱性に特化した侵害痕跡を公開していないため、一般的なvCenter・ESX侵害の兆候を調査します。

• 不明な管理者アカウントや権限変更
• 通常とは異なる送信元からのvCenterログイン
• 身に覚えのない仮想マシン作成、複製、削除
• 不審なスナップショットやエクスポート
• ISOイメージや仮想ディスクの不審な接続
• 仮想ネットワークや分散スイッチの変更
• ESXホストへの不明なSSH接続
• SSHやESXi Shellの有効化
• 不明なVIBやサービスの追加
• ログ転送先や保持設定の変更
• 管理APIの大量実行
• バックアップジョブや監視の停止
• ホストから外部への不審な通信
• CVE-2026-41709の影響を考慮したログ欠落

vCenterとESXのログだけでなく、IdP、踏み台サーバー、VPN、ファイアウォール、EDR、バックアップ製品、ネットワークフローも確認してください。

情報システム部門への示唆

情報システム部門は、vCenter、ESX、Workstation、Fusionのバージョンとビルド番号を早急に棚卸ししてください。

vCenterのビルド番号はvSphere ClientのSummary画面やPowerCLIで確認できます。

$global:DefaultVIServer.Version
$global:DefaultVIServer.Build

ESXホストはPowerCLIで次のように確認できます。

Get-VMHost | Select-Object Name, Version, Build

確認後は、インターネットや一般利用者ネットワークからvCenterとESX管理インターフェースへ到達できないことを確認します。管理アクセスは、MFAを適用したVPNまたはZTNA、踏み台サーバー、特権管理端末を経由させます。

実務上は次の順序で進めます。

• vCenterとESXの製品系列、ビルド、サポート状態を確認する
• VCF、VVF、Telco Cloud、統合アプライアンスの構成を識別する
• vCenterのCritical 2件を最優先で修正する
• VMXNET3を使用するVMとESXホストを確認する
• 互換性マトリクスでvCenter、ESX、vSAN、バックアップ製品を確認する
• vMotion、HA、クラスタ余力を確認してローリング更新を計画する
• back in time制限と将来のVCF更新計画を確認する
• パッチ後にバージョンとビルドを再確認する
• 管理ログ、アカウント、VM操作履歴を調査する
• vSphere 7.0以前は延長サポートまたは移行計画を確認する
• WorkstationとFusionの端末も26H1へ更新する

vCenterの更新だけでESXのCVE-2026-47876は修正されません。反対に、ESXだけを更新してもvCenterの認証回避とRCEは残ります。

今回の5件は本稿執筆時点で実悪用が確認されていませんが、認証不要のvCenter脆弱性とVMエスケープを含み、回避策もありません。通常の月次保守を待たず、緊急変更として更新計画を進めてください。

出典

• VMSA-2026-0006: VMware ESX, vCenter, Workstation, and Fusion updates address multiple vulnerabilities – Broadcom
• VMSA-2026-0006 Questions & Answers – VMware by Broadcom
• VMware Telco Cloud response to VMSA-2026-0006 – Broadcom
• Broadcom Patches CVE-2026-59309 and CVE-2026-59310 in VMware – SecurityOnline
• VMware vCenter Serverの1年前の脆弱性CVE-2024-37079がKEVに追加 – セキュリティ対策Lab
• VMware ESXiの脆弱性をランサムウェア攻撃グループが悪用（CVE-2024-37085） – セキュリティ対策Lab
• VMware Fusionで権限昇格が可能な脆弱性CVE-2026-41702 – セキュリティ対策Lab