The Registerの独占報道によるとVMware(ヴイエムウェア)製品の永続ライセンスを保有する一部のユーザーが、セキュリティパッチを入手できない状態にあることが判明しました。
この問題は、VMwareを買収したBroadcomによるライセンス・サポート方針の変更に起因するもので、一部顧客は90日間もパッチを受け取れない可能性があるとされています。
セキュリティパッチが「無償」とされたはずが…
BroadcomのCEO、ホック・タン氏は2024年4月、「永続ライセンスユーザーにもvSphereのゼロデイセキュリティパッチを無料で提供する」と約束していました。しかし、現在VMwareのサポートポータルでは「サポート契約が有効な顧客のみがパッチにアクセスできる」仕様に変更されており、
契約が切れているユーザーはエントitlement（資格）確認が完了するまでパッチがダウンロードできない状況にあります。
VMwareサポートの実際の画面キャプチャでは、「ポータルの変更により、パッチの提供に90日程度かかる」との説明が記載されています。
後日別ルートで配信予定との説明も、日程は未定
VMware広報によると、「資格が切れている顧客向けには、後日別の配信ルートを設ける予定」としていますが、その具体的なスケジュールは明かされていません。
なお、VMwareは2025年に入り11件のセキュリティアドバイザリを発行しており、中には「仮想マシン内の管理者権限を持つ攻撃者が、ホスト側で任意コードを実行できる」など、重大なリスクを含むものもあります。
特にセキュリティパッチの適用が遅れることは、仮想環境全体の安全性に深刻な影響を与える可能性があります。
オランダ政府機関との法的対立も背景に
本件に関連し、オランダのインフラ省傘下の政府機関「Rijkswaterstaat（RWS）」がBroadcomを提訴し、裁判所は「最低2年間はサポートを継続するよう命じる」判決を下しています。
RWSは15年以上にわたってVMwareを永続ライセンスで利用してきたにもかかわらず、サブスクリプションへの切替により85%ものコスト増が見込まれると主張していました。
参照
https://www.theregister.com/2025/07/23/vmware_patch_download_problems/
関連記事
オランダ、Broadcom/VMwareへ2年間の継続サポートを義務付け判決-ライセンス変更がセキュリティと可用性に与える影響とは？
京王プラザホテル、宿泊予約システム委託先「PTG」による不正アクセスで個人情報漏洩の可能性
VMware Aria AutomationのSQLインジェクションの脆弱性を修正（CVE-2024-22280）
VMware ESXiの脆弱性をランサムウェア 攻撃グループが悪用（CVE-2024-37085）
VMWare Fusionで危険度の高い脆弱性が修正(CVE-2024-38811)
Broadcom（VMware）で複数の脆弱性(CVE-2025-41244,41245,41246)
EDRとアンチウイルスの違いとは マルウェア対策に欠かせない二つのソリューション
テレグラム(Telegram)とは?概要や事例を解説
株式会社kubell、偽サイトを注意喚起
