VMware vCenter の脆弱性 CVE-2026-59310：リバース SSH ツールの悪用を 47カ国で観測

Hackers Exploit Critical VMware vCenter Flaw to Deploy Reverse SSH Across 47 Countries

2026/08/12 gbhackers — VMware vCenter の深刻な脆弱性 CVE-2026-59310 を悪用する活発なキャンペーンにより、47カ国にわたる 361 個の IP アドレスが影響を受けたことを研究者が観測している。このキャンペーンは、脆弱性の一般公開から数日以内に開始されたと報告されている。侵害したインフラへのリモート・アクセスを維持するために、脅威アクターたちはリバース SSH ツールを使用している。

深刻な vCenter の露出

脆弱性 CVE-2026-59310 (CVSS 9.8) は、VMware vCenter の Syslog サーバに存在するディレクトリ・トラバーサルの欠陥である。ネットワーク・アクセスを持つ攻撃者が、この脆弱性を悪用することで、任意のコード実行に至る可能性があると Broadcom は警告している。ベンダーによる回避策が提供されていないため、サポートされる唯一の修復方法は迅速なパッチ適用となる。

この脆弱性は、2026年7月29日に Broadcom のアドバイザリ VMSA-2026-0006 で公表された。更新版アドバイザリ VMSA-2026-0006.1 では、vCenter バージョン 9.1／9.0／8.0 を対象とする、修正バージョン 9.1.0.0300／9.0.2.0100／8.0 U3k／8.0 U2f が提供されている。

QUIRSO GmbH の Threat Research チームによると、攻撃者が制御するインフラと影響を受けるシステムから最初に接続したのは 8月3日であり、最初の情報開示からわずか 5日後のことだった。この活動は急速に拡大し、翌日には新たに 151 個の被害 IP が観測された。8月5日までの時点で、361 個の被害 IP のうちの 343 個が特定されていた。

最も影響を受けた国はドイツ／米国／トルコ／イラン／フランスであり、観測された合計 IP アドレスのうちの 185 個を占めている。このキャンペーンで可視化された被害インフラの、半数を上回る件数となる。

研究者たちが注意を促すのは、影響を受けた組織数の直接的な指標として、被害 IP の数を捉えるべきではないという点だ。1 つの組織が複数の公開システムを運用する場合があり、ホスティング／クラウド・サービス／共有ネットワークでは、無関係な環境が単一の IP アドレス配下にまとめられている可能性もある。

Global victim distribution (Source: Medium)
Global victim distribution (Source: Medium)

この IP の件数が示すのは、被害数の急速な増加と広範な地理的分布であり、外部に露出した vCenter 環境に対する大規模なスキャンと日和見的な悪用である。

アクセスを取得した脅威アクターは、オープンソースの SSH ベースのリバース・シェル・フレームワーク である"reverse_ssh" を展開した。このソフトウェアは、アウトバウンドのコネクトバック・チャネル／ポート・フォワーディング／ファイル転送／複数の転送方式／リモート・シェルのマネージメントを可能にする。これらの機能は、正規のペンテストで利用されるものであり、侵入者にとっても有用となる。

侵害された vCenter アプライアンスにおいて、リバース SSH は耐障害性の高い制御経路を提供する。境界ファイアウォールやネットワーク・セグメンテーションにより制限される可能性があるインバウンド・アクセスに依存するのではなく、影響を受けたシステム側から攻撃者のインフラへのアウトバウンド接続を開始する。この仕組みにより、最初の悪用活動が終了した後であっても、侵入者がリモート・アクセスを再確立する可能性がある。

"reverse_ssh" の存在だけでは、侵害を証明するものとはならない。防御側に求められるのは、未認可のバイナリ／予期しないアウトバウンド SSH 系セッション／パッチ未適用の vCenter Server 上での不審なプロセス実行などを、優先度の高い調査対象として扱うことである。

組織にとって必要なことは、インターネットからアクセス可能な全 vCenter システムの迅速な特定／インストール済みバージョンの確認／該当する Broadcom アップデートの適用である。Broadcom の対応マトリクスには、影響を受ける VMware Cloud Foundation／vSphere Foundation／Telco Cloud 製品も含まれる。

セキュリティ・チームに推奨されるのは、以下の対応である：

  • 8月3日以降の vCenter ログおよびアウトバウンド・ネットワーク・テレメトリの確認。
  • 未認可の "reverse_ssh" バイナリ／永続化メカニズム／不審な SSH トンネルの検索。
  • vCenter アプライアンスから未知の外部ホストへ向けた異常な接続の調査。
  • マネージメント・プレーンの露出制限／フォレンジック調査前における侵害の可能性があるアプライアンスの隔離。

脆弱性の情報開示から悪用までの期間が短いことを踏まえると、侵害されていないことが証明されるまで、パッチ未適用でインターネットに公開されている vCenter インスタンスを、侵害の可能性があるものとして扱うべきである。

VMware vCenter の脆弱性 CVE-2026-59310 が、グローバルで悪用され始めています。この脆弱性は、ログ管理機能の経路検証不足に起因し、ネットワーク経由での不正指令の実行や遠隔操作経路の確立といった深刻な影響が生じる恐れがあります。仮想化基盤の中核を担う製品であるため、外部から接続できる環境での未対策放置による被害拡大が懸念されます。対策として、修正プログラムの適用／不要な外部公開の制限／通信履歴の検証／不正プロセスの確認が挙げられます。システムを安全に利用するためにも、この脆弱性への迅速な対処が求められます。