VMware Aria Operations の脆弱性 CVE-2026-22719／22720／22721 が FIX：リモート・コード実行の恐れ

VMware Aria Flaws Enable Attackers to Execute Remote Code

2026/02/24 gbhackers — Broadcom のセキュリティ・アドバイザリ VMSA-2026-0001 で公開されたのは、VMware Aria Operations に存在する 3 件の脆弱性に関する情報である。これらの脆弱性は、リモート攻撃者に対して任意のコマンド実行を許すものであり、VMware Aria Operations／Cloud Foundation／Telco Cloud Platform／Telco Cloud Infrastructure に影響を及ぼす。すでに VMware は、すべてのバージョン向けに修正プログラムをリリースし、この問題に対処している。

脆弱性の概要

最も深刻な脆弱性 CVE-2026-22719 (CVSSv3：8.1) は、コマンド・インジェクションの欠陥である。この脆弱性を悪用する未認証の脅威アクターは、サポート支援により製品移行中の VMware Aria Operations 環境において任意のコマンドを実行し、リモート・コード実行 (RCE) を達成できる。この脆弱性の悪用において、認証情報なしでトリガーできる点が特に危険である。回避策については、Broadcom ナレッジ・ベース記事 “KB430349” に文書化されている。

2 件目の CVE-2026-22720 (CVSSv3：8.0) は、蓄積型クロス・サイト・スクリプティング (XSS) 脆弱性である。カスタム・ベンチマーク作成権限を持つ攻撃者であれば、悪意のスクリプト注入を介して、Aria Operations インターフェイス内で未承認の管理操作が実行可能となる。この脆弱性は、Deutsche Telekom Security GmbH の Tobias Anders により報告された。

3 件目の CVE-2026-22721 (CVSSv3：6.2) は、権限昇格の脆弱性である。既存の vCenter 権限を持つ脅威アクターによる悪用が可能であり、VMware Aria Operations における完全な管理者権限の取得が可能になる。この脆弱性は、ERNW Enno Rey Netzwerke GmbH の Sven Nobis／Lorin Lehawany により発見された。3 件すべての脆弱性は、公開前に Broadcom へ非公開で報告された。

CVE IDCVSS ScoreSeverityVulnerability TypeAttack Vector
CVE-2026-227198.1ImportantCommand Injection / RCENetwork (Unauthenticated)
CVE-2026-227208.0ImportantStored Cross-Site ScriptingNetwork (Low Privileges)
CVE-2026-227216.2ModeratePrivilege EscalationNetwork (High Privileges)

Affected Products & Fixes

ProductAffected VersionFixed Version
VMware Aria Operations8.x8.18.6
VMware Cloud Foundation (VCF Operations)9.x.x.x9.0.2.0
VMware Cloud Foundation (Aria Operations)5.x, 4.xKB92148
VMware Telco Cloud Platform5.x, 4.xKB428241
VMware Telco Cloud Infrastructure3.x, 2.xKB428241

Broadcom が強く推奨するのは、提供されているパッチの即時適用である。VMware Aria Operations を運用する組織は、修正済みバージョンへのアップグレードを優先すべきである。特に CVE-2026-22719 は、未認証によるリモート悪用が可能であるため、最も高いリスクがある。迅速なパッチ適用が困難な環境においては、”KB430349″ に記載される一時的な回避策を適用すべきである。

Broadcom から発行されたセキュリティ・アドバイザリ VMSA-2026-0001 は、インフラ管理の中核を担う VMware Aria Operations で発見された深刻な脆弱性を解説するものです。今回の報告で最も危険なのが、コマンド・インジェクションの脆弱性である CVE-2026-22719 です。これは製品の移行 (Migration) プロセス中に、外部からの入力が適切に検証されないという不備を突くものであり、ユーザー名やパスワードといった認証情報を必要としない、リモートからの任意のコマンド実行を引き起こすものです。ご利用のチームは、ご注意ください。よろしければ、VMware Aria での検索結果も、ご参照ください。