Chinese Hackers Exploit VMware ESXi 0-Day to Hide Malicious Activity on Compromised Servers
2026/10/29 CyberSecurityNews — 中国との関連が指摘される攻撃者グループが、米国の法律事務所などの組織を標的としたスパイ活動で、VMware ESXi のゼロデイ脆弱性を悪用した上で、侵害したサーバ上での自身の活動を隠蔽していた。CrowdStrike は、このグループを WARP PANDA と特定した。同社によると、WARP PANDA は脆弱性 CVE-2026-41709 を複数の侵入事例で悪用しており、その活動は 2026年初頭まで続いていた。
この調査結果は、10月28日に公開された CrowdStrike の 2026 Legal Threat Landscape Report に記載されている。研究者によると、WARP PANDA は被害組織の VMware vCenter 環境に複数種類のマルウェアを展開し、一部の攻撃では ESXi のコマンドログ記録を回避する脆弱性を、ゼロデイとして悪用していた。
この事例が示すのは、深刻度が低いと評価された脆弱性であっても、システムの制御権を取得した攻撃者が活動を隠蔽するために悪用できることだ。この脆弱性自体がサーバへの侵入経路となるわけではない。ただし、すでに管理者権限を持つ攻撃者が、本来記録されるはずのログを残さずに、特定の操作を実行する状況を成立させる。
VMware ESXi のログ記録回避の仕組み
Broadcom のセキュリティ・アドバイザリは、脆弱性 CVE-2026-41709 (CVSS 2.7) を、VMware ESXi におけるログ記録の不備として説明し、深刻度を Low と評価している。Broadcom は、この問題を報告した研究者として、CrowdStrike の Ian Barton を挙げている。
重要なのは、悪用に必要なアクセス権限である。この脆弱性は、未認証でリモートコード実行を許すものではなく、それ自体により管理者権限の取得を許すわけでもない。
この脆弱性が攻撃者にとって有用になるのは、システムを侵害した後である。管理者権限を取得した攻撃者は、この脆弱性を悪用して、特定の操作をログに記録させずに実行できる。Broadcom は、影響を受ける具体的な操作については公表していない。
こうした証拠に関する欠落により、インシデント調査が困難になる可能性がある。防御側が侵入の経緯を再構築する際に、影響を受けるログに依存している場合、攻撃者が実行した一部の操作が記録に残らなくなる可能性がある。ただし、アドバイザリには、この脆弱性により、既存のログの消去や、すべての監視手段の無効化が生じるとは記載されていない。この点は、影響を評価するうえで重要な制約となる。
以前にも Cyber Security News は、VMware の深刻な認証バイパスの脆弱性などに関する報道で、この問題を取り上げている。これらの脆弱性は、同じアドバイザリで公表されたが、悪用に必要なアクセス権限や影響は異なる。CrowdStrike が公開した概要からは、WARP PANDA が一連の脆弱性を組み合わせて悪用したとは確認できない。
CrowdStrike の調査対象期間は、2025年9月1日〜2026年8月31日である。一般的に法律事務所は、秘匿特権の対象となる通信／企業の合併に関する詳細情報／知的財産／政府関連資料／財務記録などを保有している。こうした情報の性質から、法律事務所は諜報活動とデータ窃取を目的とする攻撃者にとって、きわめて価値の高い標的となっている。
この報告書で特定された WARP PANDA は、中国との関連が指摘される 4 つの主要な攻撃者グループの 1 つである。2026年4月には、TITAN PANDA が Intapp Time Server に存在する、ハードコードされた IIS マシンキーに関する脆弱性を悪用した。Intapp Time Server とは、多くの法律事務所で使用される、業務時間の記録と請求管理のための製品である。
MURKY PANDA による ORB28 パスワードスプレー攻撃は、複数の業種にわたる主に米国の 340以上の組織に影響を及ぼし、法律関連組織が最も大きな被害を受けた。ある法律事務所では、30日間の攻撃期間において約 300個の IP アドレスから、最大 500個のアカウントに対する約 500回のログインの試行と失敗が記録されている。CrowdStrike は、この攻撃キャンペーンが、調査対象期間からわずかに外れていると指摘している。
これとは別に、OVERCAST PANDA は、2025年9月〜10月にかけて英国の法律事務所の幹部を標的としていた。これらの事例が示すのは、単一の攻撃作戦ではなく、それぞれ異なる手法が使用されていたことである。
修正パッチの公開
Broadcom が公開した修正済みビルドには、ESXi-9.1.0.0-25370933／ESXi-9.0.2.0100-25595025／ESXi80U3j-25429389 が含まれている。VMware Cloud Foundation 5.x の利用者は、バージョン 5.2.4 のアップデートに関するガイダンスを参照する必要がある。また、影響を受ける Telco Cloud Platform 環境には、KB449886 で個別の対応手順が示されているが、回避策は提示されていない。
Cyber Security News も、VMware ESXi のログ記録に関する脆弱性が実際に悪用されていることを報じている。管理者にとって必要なことは、すべての VMware アップデートで脆弱性 CVE-2026-41709 が修正されると判断せずに、Broadcom の対応マトリックスを用いて、使用している製品の正確なバージョンを照合することだ。
対応の優先順位を決定する際には、ベンダーのガイダンスや実際に観測された脅威情報に加え、CISA の Known Exploited Vulnerabilities (KEV) カタログも有用な判断材料となる。今回の事例は、ゼロデイ段階での悪用を CrowdStrike が確認しているものである。数値上の深刻度スコアが低くても、防御側が自組織への影響を評価すべき明確な根拠となっている。
この記事は、仮想化プラットフォームである VMware ESXi におけるログ記録回避の脆弱性と、それを取り巻くサイバー攻撃の動向について解説するものです。中国に関連する攻撃グループが潜伏活動の隠蔽を狙い、ゼロデイ攻撃を実施したことが背景に存在します。影響として、侵害後の管理者操作の不記録化／インシデント調査や追跡の困難化が生じる恐れがあります。対応策として、製品バージョンの照合／修正済みビルドへの更新／脅威インテリジェンスを活用した監視の強化が求められます。
You must be logged in to post a comment.