VMware vCenterのCVE-2026-59310が実際のサイバー攻撃に悪用　47カ国361 IPで侵害確認、reverse_sshで永続化

VMware vCenter Serverの重大な脆弱性CVE-2026-59310が、実際のサイバー攻撃で悪用されていることが確認されました。

Broadcomは2026年7月29日、vCenterのSyslog Serverに存在するディレクトリトラバーサルの脆弱性としてCVE-2026-59310を公表しました。CVSS v3.1の基本値は9.8で、vCenterへネットワークアクセスできる未認証の攻撃者が悪用すると、任意のコードを実行される可能性があります。

ドイツのDFIR・脅威調査企業QUIRSOは、そのわずか5日後となる8月3日から、脆弱なvCenterが攻撃者のインフラへ通信する侵害活動を確認しました。8月7日までに47カ国の361個の被害IPアドレスを確認しており、侵害後にはオープンソースの「reverse_ssh」を利用した永続的なリモートアクセスが構築されていました。

Broadcomは本脆弱性に回避策を提示しておらず、修正版への更新が必要です。すでに侵害された環境では、パッチ適用だけで終わらせず、永続化や不審な外向き通信が残っていないか確認する必要があります。

VMware vCenter CVE-2026-59310悪用事案のサマリー

• CVE-2026-59310は、VMware vCenter ServerのSyslog Serverに存在するディレクトリトラバーサルの脆弱性です。
• CVSS v3.1の基本値は9.8で、BroadcomはCriticalに分類しています。
• vCenterへネットワークアクセスできる未認証の攻撃者が悪用すると、任意のコードを実行される可能性があります。
• Broadcomは2026年7月29日にVMSA-2026-0006として修正版を公開しました。
• 本脆弱性に回避策はありません。
• QUIRSOは8月3日から、CVE-2026-59310の悪用と整合する侵害活動を確認しました。
• Broadcomによる公開から実際の悪用確認まで約5日でした。
• QUIRSOは8月7日までに47カ国の361個の被害IPアドレスを確認しています。
• 被害IPはドイツ、米国、トルコ、イラン、フランスなどで多く確認されています。
• 侵害後にはオープンソースのreverse_sshが配置され、攻撃者側のインフラへ外向きSSH通信を確立することで永続的なリモートアクセスに利用されていました。
• QUIRSOはreverse_sshを検出するYARAルールを公開しています。
• reverse_ssh自体は正規用途にも利用できるデュアルユースツールであり、検出だけで侵害と断定することはできません。
• QUIRSOは高度な攻撃者による活動の可能性を指摘していますが、具体的な攻撃グループを裏付ける証拠は現時点で公開していません。
• BroadcomのFAQには「野外での悪用を示す情報はない」との記載が残っていますが、その後QUIRSOが侵害事例を公開しています。
• セキュリティ対策Labでは7月31日時点で、CVE-2026-59309とCVE-2026-59310の脆弱性と修正版を記事化しています。

項目	内容
CVE番号	CVE-2026-59310
対象製品	VMware vCenter Server、vCenterを含むVMware Cloud Foundation、VMware vSphere Foundationなど
CVSS基本値	9.8（CVSS v3.1）
深刻度	Critical
脆弱性の種別	Syslog Serverのディレクトリトラバーサル
攻撃条件	vCenterへのネットワークアクセス。認証不要
影響	任意コード実行
影響を受けるバージョン	修正版より前の対象vCenter
修正版	9.1系：9.1.0.0300、9.0系：9.0.2.0100、8.0系：8.0 U3kまたは8.0 U2f
VMware Cloud Foundation 5.x	KB88287に従い8.0 U3kを非同期パッチとして適用
回避策	なし
実際の悪用状況	QUIRSOが実際の侵害を確認
被害確認	2026年8月7日までに47カ国361個の被害IPアドレス
侵害後の活動	reverse_sshを利用した永続的なリモートアクセス
公開日	2026年7月29日
悪用確認開始	2026年8月3日

CVE-2026-59310は認証不要で任意コード実行につながる脆弱性

CVE-2026-59310は、VMware vCenter ServerのSyslog Serverに存在するディレクトリトラバーサルの脆弱性です。

BroadcomはCVSS v3.1の基本値を9.8と評価し、Criticalに分類しています。

攻撃者はvCenterへネットワークアクセスできれば、事前にユーザーアカウントや認証情報を取得していなくても脆弱性を悪用でき、任意のコードを実行できる可能性があります。

Broadcomは2026年7月29日、VMSA-2026-0006として本脆弱性を含む5件の脆弱性を公表しました。

同時に公開されたCVE-2026-59309もvCenterに影響するCVSS 9.8の脆弱性ですが、こちらはVMware Directory Serviceの認証回避です。CVE-2026-59310はSyslog Serverを起点とした任意コード実行であり、両者は別の脆弱性です。

セキュリティ対策Labでは、公開直後の7月31日にVMware vCenterに認証回避とRCEの脆弱性、CVE-2026-59309とCVE-2026-59310はCVSS 9.8として修正版を含めて解説しています。

今回新たに判明したのは、このうちCVE-2026-59310がすでに実際の侵害に利用されている点です。

公開から5日後の8月3日に侵害端末から通信を確認

QUIRSOのThreat Research Teamは、インシデントレスポンス業務を通じてCVE-2026-59310の悪用と整合する侵害活動を確認しました。

攻撃を受けたvCenterから攻撃者側のインフラへの通信が確認され始めたのは2026年8月3日です。

Broadcomが脆弱性と修正版を公開した7月29日から、わずか5日後でした。

8月4日には新たに151個の被害IPアドレスが確認され、翌8月5日には確認数が343個まで増加しました。

8月7日時点では、47カ国で計361個の被害IPアドレスが確認されています。

特にドイツ、米国、トルコ、イラン、フランスで多く確認されています。

ただし、361という数字は被害を受けた組織数ではなく、QUIRSOが確認した被害IPアドレス数です。1組織が複数のvCenterやIPアドレスを利用している可能性もあるため、「361社が被害を受けた」と読み替えることはできません。

侵害後にreverse_sshを展開し永続的なアクセスを確保

QUIRSOが調査した侵害環境では、CVE-2026-59310と整合するパストラバーサル活動の後、攻撃者が「reverse_ssh」を利用してリモートアクセスを維持していました。

reverse_sshは、SSH接続を逆方向に確立できるオープンソースツールです。

通常のSSHでは管理者側からサーバーへ接続しますが、リバース接続では侵害された端末側から攻撃者のインフラへ外向きの通信を開始できます。

このため、インターネット側からvCenterへのSSH接続をファイアウォールで禁止していても、vCenterから外部への通信が許可されている環境では、攻撃者が継続的な遠隔操作経路を維持できる可能性があります。

QUIRSOはreverse_sshクライアントを検出するYARAルールもGitHubで公開しています。

ただし、QUIRSO自身が注意している通り、reverse_sshは正規の用途でも利用できるデュアルユースツールです。

YARAルールへの一致だけでサイバー攻撃を受けたと断定するのではなく、承認されていない配置、不審な外向き通信、脆弱なvCenter上での実行など、周辺のログやテレメトリと組み合わせて判断する必要があります。

パッチを適用しても侵害済み環境の永続化は消えない

今回の事案で特に注意したいのは、修正版の適用と侵害後対応を分けて考える必要がある点です。

Broadcomのパッチを適用すればCVE-2026-59310を悪用した新たな侵入経路は修正できます。

一方、すでに攻撃者がvCenterへ侵入し、reverse_sshなどを配置している場合、脆弱性を修正しただけでは侵害後に作られた永続化の仕組みが自動的に削除されるとは限りません。

特に、7月29日の修正版公開後も更新していなかったvCenterや、インターネットから到達可能だったvCenterでは、パッチ適用と並行して侵害痕跡を確認する必要があります。

確認対象としては、想定していない永続化設定、不審なプロセスや実行ファイル、vCenterから外部への異常なSSH通信、身に覚えのないファイル変更などが挙げられます。

具体的な攻撃インジケーターについては、QUIRSOが法執行機関との調整を理由に一部を非公開としており、今後より詳細な調査結果を公開する予定です。

BroadcomのFAQには「悪用情報なし」の記載が残る

Broadcomが公開しているVMSA-2026-0006のFAQでは、今回の5件の脆弱性について、野外で悪用されたことを示す情報は把握していないとの記載が残っています。

一方、その後QUIRSOはインシデントレスポンスで得られたフォレンジック証拠をもとに、CVE-2026-59310を初期侵入経路とする実際の侵害を確認したと公表しました。

この2つは必ずしも矛盾するものではありません。

BroadcomのFAQが作成・更新された時点では攻撃情報を把握しておらず、その後に第三者のセキュリティ企業が侵害を確認した可能性があります。

脆弱性対応ではベンダーのアドバイザリだけでなく、インシデントレスポンス企業やCERTなどが公開する悪用情報も継続的に確認することが重要です。

APTによる攻撃の可能性はあるが攻撃者は未特定

QUIRSOは今回の攻撃活動について、高度な攻撃能力を持つAPTによる可能性を指摘しています。

ただし、現時点で特定の国家や攻撃グループと結び付ける公開証拠は示されていません。

このため、「特定国の政府系攻撃者がCVE-2026-59310を悪用している」といった断定はできません。

また、同時に修正されたCVE-2026-59309についてもスキャン活動が確認されていますが、QUIRSOが調査したCVE-2026-59310の侵害キャンペーンと同一の攻撃者によるものかは確認されていません。

今回確認されている範囲では、フォレンジック証拠はCVE-2026-59310を初期アクセス経路として強く示しているとされています。

影響バージョンと修正版

Broadcomは、VMSAに記載された修正版より前の対象バージョンを利用している場合、影響を受けるものとして対応するよう案内しています。

主なvCenterの修正版は以下です。

製品・構成	影響する系列	修正版
VMware Cloud Foundation / VMware vSphere FoundationのvCenter	9.1.x.x	9.1.0.0300
VMware Cloud Foundation / VMware vSphere FoundationのvCenter	9.0.x.x	9.0.2.0100
VMware vCenter	8.0	8.0 U3k
VMware vCenter	8.0 U2系	8.0 U2f
VMware Cloud Foundation	5.x	KB88287に従い8.0 U3kを非同期適用
VMware Telco Cloud Platform	3.0、4.x、5.0.x、5.1.x	Broadcom KB449886を参照
VMware Telco Cloud Infrastructure	3.0	Broadcom KB449886を参照

Broadcomは本脆弱性について回避策を提供していません。

FAQでは今回の一連の脆弱性を、ITILの考え方では緊急変更に該当すると説明し、修正版への迅速な更新を求めています。

vCenterが侵害されると仮想基盤全体への影響につながる

vCenterは、複数のESX/ESXiホストや仮想マシンを一元管理する仮想化基盤の中枢です。

通常の業務サーバー1台が侵害された場合と異なり、vCenterの管理権限や実行環境を攻撃者に奪われると、多数の仮想マシンや認証情報、仮想ネットワーク、スナップショットなどへ攻撃が波及する可能性があります。

実際、VMwareの仮想化基盤は国家支援型攻撃やランサムウェア攻撃でも標的となっています。

セキュリティ対策Labでは、中国政府系ハッカーが仮想化基盤を狙う新バックドア「BRICKSTORM」を使用として、vCenterやESXiを狙った長期的な侵害活動についても取り上げています。

仮想化基盤は、個々のサーバーより管理できる範囲が広いため、攻撃者にとって価値の高い標的となります。

情報システム部門への示唆

CVE-2026-59310を利用する環境では、修正版への更新を最優先で行う必要があります。

特にインターネットや広範な社内ネットワークからvCenterへ直接到達できる構成では、管理インターフェースへのアクセス範囲も見直すべきです。

vCenterは管理者や管理ネットワークなど必要な範囲からのみアクセス可能とし、一般ユーザーのセグメントやインターネットから直接接続できる状態を避けることが基本となります。

今回のように実際の悪用が確認された脆弱性では、「パッチを当てたから対応完了」としないことも重要です。

7月29日の修正版公開からパッチ適用までに時間が空いた環境では、その期間に侵害されていなかったかを確認してください。

reverse_sshのような承認されていないリモートアクセスツール、不審な永続化設定、予期しない外部SSH接続、身に覚えのない実行ファイルなどを確認し、疑わしい痕跡がある場合はインシデントレスポンスとして調査する必要があります。

また、vCenterからインターネットへの外向き通信も必要最小限に制限することで、侵害後に攻撃者のC2インフラへ接続する経路を減らせます。

vCenterのような管理基盤については、脆弱性管理だけでなく、管理ネットワークの分離、アウトバウンド通信制御、ログの外部保存、特権アカウント監視を組み合わせることが重要です。

出典

• VMSA-2026-0006.1: VMware ESX, vCenter, Workstation, and Fusion updates address multiple vulnerabilities – Broadcom
• VMSA-2026-0006 Questions & Answers – VMware / Broadcom
• Active exploitation of CVE-2026-59310: 361 victim IPs across 47 countries – QUIRSO
• reverse_ssh generic YARA detection rule – QUIRSO Threat Research
• CVE-2026-59310 – CVE Program
• VMware vCenterに認証回避とRCEの脆弱性、CVE-2026-59309とCVE-2026-59310はCVSS 9.8 – セキュリティ対策Lab
• 中国政府系ハッカーが仮想化基盤を狙う新バックドア「BRICKSTORM」を使用 – セキュリティ対策Lab