CISA KEV 警告 26/08/18：VMware vCenter の脆弱性 CVE-2026-59310 を KEV に登録

CISA Warns of VMware vCenter Path Traversal Vulnerability Actively Exploited in Attacks

2026/08/19 CyberSecurityNews — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、実際の攻撃で悪用されている証拠が確認されたことを受け、Broadcom の VMware vCenter の深刻な脆弱性 CVE-2026-59310 を Known Exploited Vulnerabilities (KEV) カタログに追加した。

この欠陥は VMware vCenter に影響を及ぼし、CWE-22 に該当するパス・トラバーサル脆弱性として分類されている。脆弱な vCenter インスタンスへネットワーク経由でアクセス可能な攻撃者は、この問題を悪用して任意のコード実行を引き起こす可能性がある。それにより、VMware の仮想インフラストラクチャを運用する組織に深刻なリスクがもたらされ、特に、vCenter サーバが信頼できないネットワークへ公開されている場合や、侵害された内部アカウントを介してアクセス可能な場合にリスクが高まる。

パス・トラバーサルの欠陥は、ユーザーから提供されたファイル・パスをアプリケーションが適切に検証できない場合に発生し、特別に細工されたパス値を悪用する攻撃者は、本来意図された場所の外部にあるファイルやディレクトリへアクセスできるようになる。

VMware vCenter のパス・トラバーサル脆弱性の悪用

このケースでは、悪用に成功した侵入者が通常のアクセス制御を回避して vCenter 環境上でコードを実行する可能性があり、VMware vCenter は、仮想マシン／ホスト／データストア／ネットワーク／アクセス制御を一元的に管理するため、価値の高い標的となる。さらに、vCenter サーバを制御した攻撃者は、多数のワークロードの妨害／仮想マシン設定の変更／悪意のある仮想マシンの展開／認証情報の窃取／復旧処理の無効化を行う可能性がある。

2026年8月18日に、CISA は CVE-2026-59310 を KEV カタログに追加し、連邦文民行政機関には、拘束的運用指令 26-04 (BOD 26-04) に基づき、2026年8月21日までに必要な緩和策を適用することが求められている。この短い対応期限は、脆弱なインフラ管理システムの悪用がもたらすリスクを反映している。

CISA はユーザー組織に対し、Broadcom の指示に従って緩和策を適用するとともに、影響を受けるすべての資産についてインターネットへの露出状況を評価するよう求めている。また、組織には、リスクに基づいてセキュリティ・アップデートの優先順位を決定するための CISA BOD 26-04 ガイダンスと、フォレンジック調査における初動評価の要件に従うことが求められる。緩和策が提供されていない場合、CISA は影響を受ける関係者に対し、脆弱な製品の使用を中止するよう推奨している。

CISA は、CVE-2026-59310 とランサムウェアとの関連性を明らかにしていないが、VMware の管理プラットフォームは仮想化環境に対する広範な制御を攻撃者に提供するため、企業環境への侵入で繰り返し標的となってきた。

セキュリティ・チームには、すべての vCenter 環境を直ちに特定し、ソフトウェア・バージョンを確認した上で、外部公開されたシステムがインターネットまたは信頼性の低い内部ネットワーク・セグメントから到達可能かどうかを判断することが強く推奨される。また、管理者には、承認済みネットワークへの管理アクセスの制限／多要素認証 (MFA) の適用／特権 vCenter アカウントの確認／不審な認証イベントや異常な管理者活動のログからの調査が求められる。

一方、侵害が疑われる組織には、パッチ適用前に関連する vCenter／ハイパーバイザー／認証基盤／ネットワークのログを保存することが求められる。仮想化管理プラットフォームに対する攻撃が成功するとデータセンター全体に影響が及ぶ可能性があるため、迅速な封じ込めとフォレンジック調査が重要となる。

Broadcom VMware vCenter において、ファイル・パスの検証不備に起因するパス・トラバーサルの深刻な欠陥が見つかりました。管理者権限の奪取／任意のコード実行／仮想マシンの操作／認証情報の窃取といった影響が生じる恐れがあり、仮想化基盤全体が制御されるリスクが高まっています。これを受けて CISA は、本脆弱性 CVE-2026-59310 を CISA KEV カタログへ新たに追加しました。ネットワークアクセスの制限／インターネット露出状況の評価／ソフトウェアの更新／ 使用停止といった迅速なセキュリティ対策が求められます。