VMSA-2026-0006: VMware vCenter/ESXiにCritical脆弱性3件 — 認証回避・RCE・VMエスケープ(CVE-2026-59309/59310/47876)

Broadcomは2026年7月29日、VMware vCenter Server、VMware ESX、VMware Workstation、VMware Fusionなどに影響する5件の脆弱性をまとめたセキュリティアドバイザリVMSA-2026-0006を公開しました。アドバイザリ全体の深刻度はCritical(重大)で、CVSS v3.1の基本値は2.7から9.8です。影響を受ける製品向けに修正版が公開されています。

特に深刻なのは、vCenter Serverで認証を回避できるCVE-2026-59309、vCenter Serverで任意コード実行につながるCVE-2026-59310、VMXNET3仮想ネットワークアダプターを使用する仮想マシンからESXホスト上でコードを実行できるCVE-2026-47876の3件です。前者2件はvCenterへネットワークアクセスできる未認証の攻撃者が対象となり、CVE-2026-47876は仮想マシン内でローカル管理者権限を取得した攻撃者によるVMエスケープに該当します。

Broadcomは現時点で、これらの脆弱性が実際の攻撃で悪用されたことを示す情報はないとしています。一方、公式FAQではITIL上の緊急変更として扱う水準と説明しており、修正版より前のvCenter、ESX、Workstation、Fusionを利用している環境に速やかな対応を求めています。vCenter 8.0は8.0 Update 3k、ESXi 8.0はESXi 8.0 Update 3kへ更新することで、今回の5件をまとめて修正できます。

VMSA-2026-0006の全体像

vCenterとESX/ESXiで異なる3件のCritical脆弱性

VMSA-2026-0006では5件の脆弱性が扱われていますが、Criticalに分類された3件は攻撃対象と前提条件が異なります。vCenterの2件は管理基盤そのものへネットワーク経由で到達できる攻撃者を対象とし、VMXNET3の問題は仮想マシン内で管理者権限を持つ攻撃者を対象とします。

仮想基盤では、vCenterが複数のESX/ESXiホストや仮想マシンを集中的に管理します。vCenterを侵害された場合、単一の仮想マシンにとどまらず、管理対象ホスト、仮想マシン、権限設定、ネットワーク、ストレージなどへ影響が広がる可能性があります。一方、VMエスケープは、すでに侵害された仮想マシンを足掛かりとしてハイパーバイザーへ到達する攻撃経路です。

CVE-2026-59309: VMware Directory Serviceの認証回避

CVE-2026-59309は、vCenterに含まれるVMware Directory Serviceの認証回避脆弱性です。Broadcomは深刻度をCritical、CVSS v3.1の基本値を9.8と評価しています。

攻撃者はvCenterへネットワークアクセスできれば、認証機構を回避し、システムへ不正にアクセスする可能性があります。攻撃に事前のユーザーアカウントや権限は必要ありません。BroadcomのCVSSベクターも、ネットワーク経由、攻撃条件の複雑さが低い、権限不要、ユーザー操作不要として評価されています。

この問題は、複数のvCenterを連携させるEnhanced Linked Mode(ELM)の使用有無や、統合Windows認証(Integrated Windows Authentication、IWA)によるActive Directory連携の有無には依存しません。Broadcom公式FAQは、脆弱性がvCenter自体に存在するため、ELMを使用していない環境やIWAを使用していない環境も更新が必要と説明しています。

CVE-2026-59310: Syslogサーバーのディレクトリトラバーサル

CVE-2026-59310は、vCenterのSyslogサーバーに存在するディレクトリトラバーサル脆弱性です。深刻度はCritical、CVSS v3.1の基本値は9.8です。

vCenterへネットワークアクセスできる攻撃者がこの問題を悪用すると、任意コードを実行できる可能性があります。CVE-2026-59309と同様に、Broadcomは攻撃者に事前の権限やユーザー操作を要求しない評価を示しています。

ディレクトリトラバーサルは、本来許可されたディレクトリの範囲を越えてファイルへアクセスする問題です。今回のアドバイザリは詳細な攻撃手順を公開していませんが、影響を単なるファイル参照ではなく任意コード実行と説明しているため、vCenter管理基盤の完全な侵害につながり得る問題として扱う必要があります。

CVE-2026-47876: VMXNET3からESXホストへのVMエスケープ

CVE-2026-47876は、ESX側のVMXNET3仮想ネットワークアダプター処理に存在する境界外書き込み脆弱性です。深刻度はCritical、CVSS v3.1の基本値は9.3です。

VMXNET3を使用する仮想マシン内でローカル管理者権限を持つ攻撃者が悪用すると、ESXホスト上でコードを実行できる可能性があります。Broadcom公式FAQは、この問題をVMエスケープに該当すると明記しています。

VMXNET3以外の仮想ネットワークアダプターを使用する仮想マシンは、このCVEの影響を受けません。ただし、Broadcomはe1000など別の仮想NICへ変更することを一般的な対策として推奨していません。別の仮想デバイスにも固有の脆弱性が存在し得るほか、VMXNET3の性能上の利点を失うためです。恒久的な対処は仮想NICの変更ではなく、ESX/ESXiの更新です。

VMXNET3にはゲストOS内のドライバーもありますが、今回の脆弱性はESX側の処理に存在します。そのため、VMware ToolsやゲストOS側のVMXNET3ドライバーを更新するだけでは修正されません。

残る2件の脆弱性

CVE-2026-41703: 境界外読み取りによる情報漏えいとDoS

CVE-2026-41703は、VMware ESX、Workstation、Fusionに存在する境界外読み取り脆弱性です。ESXでは重要(Important)、CVSS v3.1の基本値は7.6と評価されています。

仮想マシンをデプロイできる権限を持つ攻撃者が問題を引き起こすと、情報漏えい、またはホストプロセスのサービス拒否(DoS)につながる可能性があります。Broadcomは、ホスト上でのコード実行を可能にするVMエスケープではないと説明しています。

VMware Workstation 25H2とVMware Fusion 25H2も影響を受けますが、両製品では影響が情報漏えいに限定され、深刻度は低(Low)、CVSS v3.1の基本値は2.7です。修正版はWorkstation 26H1およびFusion 26H1です。

CVE-2026-41709: ESXのログ記録不足

CVE-2026-41709は、ESXのログ記録が不十分な脆弱性です。深刻度は低(Low)、CVSS v3.1の基本値は2.7です。

悪意のある管理者がこの問題を悪用すると、特定の操作を監査ログへ残さずに実行できる可能性があります。単独で外部から侵入する脆弱性ではありませんが、侵害後の操作追跡やインシデント調査を困難にする要因になります。

影響バージョンと修正版

Broadcomは、VMSAの対応マトリクスに示された修正版より前の対象製品を影響対象として扱っています。パッチは累積型であるため、掲載されたバージョンより新しいリリースにも修正が含まれます。

vCenter 9.1のCVE-2026-59309は9.1.0.0200で最初に修正されましたが、Broadcomは累積更新を前提に、現在利用可能な9.1.0.0300を対応マトリクスへ掲載しています。ESXi 8.0では、CVE-2026-41703がUpdate 3i、CVE-2026-41709がUpdate 3jで個別に修正されていますが、Update 3kへ更新すれば今回の3件をまとめて解消できます。

VMware Cloud Foundation 5.xでは、vCenter 8.0 Update 3kへの非同期パッチと、Broadcomの非同期パッチ適用ガイド(Async Patching Guide)に従ったESX更新が必要です。VMware Cloud Foundation 9.x、VMware vSphere Foundation、Telco Cloud Platform、Telco Cloud Infrastructureについては、利用中の製品系列に対応する対応マトリクスと個別手順を確認してください。

vSphere 7以前を利用している場合

VMware vSphere 7は2025年10月2日にEnd of General Supportを迎えています。Broadcom公式FAQは、vSphere 7も今回の脆弱性の影響を受けると説明しており、Extended Support契約がある組織は、その手続きに従って修正プログラムを要求する必要があります。

vSphere 6.5および6.7について、Broadcomは一般サポート終了後の製品を通常のセキュリティアドバイザリで評価しないため、影響を受けるものと想定するよう案内しています。VMSAに修正版が掲載されていないことは、安全であることを意味しません。

サポートが終了した環境では、修正プログラムを入手できない可能性や、現在のハードウェアが新しいvSphereに対応しない問題があります。ネットワーク制限だけで恒久的に運用を継続するのではなく、サポート対象バージョンへの移行、ハードウェア更新、Extended Supportの利用を含めた対応計画が必要です。

更新作業で想定される影響

vCenter更新中も仮想マシンは動作を継続

vCenterはvSphere環境の管理インターフェースであり、vCenterの更新中はvSphere Clientなどの管理機能を一時的に利用できなくなります。一方、ESX/ESXi上ですでに動作している仮想マシンやコンテナワークロードは、vCenter更新中も稼働を継続します。

今回のvCenter更新は、停止影響を抑えるQuick Patchの対象ではありません。通常のvCenterパッチ適用方法、または環境で構成済みの場合は、停止時間を短縮するReduced Downtime Upgrade(RDU)を使用します。バックアップの取得、プラグインやバックアップ製品との互換性、vCenter HAの構成、メンテナンス時間を事前に確認してください。

ESX/ESXi更新は原則としてホスト再起動が必要

ESX/ESXiの更新では、通常はホストの再起動が必要です。BroadcomはvMotionを使用して仮想マシンを別ホストへ退避し、クラスタ内のホストを順番に更新するローリングリブートを推奨しています。vMotionできない仮想マシンは、ホスト再起動前に停止する必要があります。

今回のESX更新は、対応環境ではホスト停止の影響を抑えるESX Live Patchを利用できる場合があります。ただし、Live Patchの利用可否は製品系列、構成、TPM、vSAN Stretched ClusterのWitnessなどによって異なります。適用前に対象リリースノートとBroadcomの手順を確認してください。

vCenterとESX/ESXiのどちらを先に更新するか

従来はvCenterを先に更新してからESX/ESXiホストを更新する手順が一般的でした。Broadcom公式FAQは、近年の製品では古いvCenterと新しいESXの組み合わせが互換性を持つ場合があり、必ずしも一律にvCenterを先にする必要はないと説明しています。

ただし、組み合わせごとの互換性はVMware Product Interoperability Matrixで確認する必要があります。vSANを利用している場合は、vCenterとESXだけでなくvSANの互換性も含めて確認してください。

今回のvCenter脆弱性2件は、ネットワークアクセスだけで悪用される可能性がある未認証の問題です。そのため、大規模なESXホスト群を管理している環境では、vCenterを先に緊急更新し、その後に複数ホストを並行して更新する判断も考えられます。一方、vCenterの停止時間をすぐに確保できない場合は、互換性を確認した上でESXホストの更新を先に進めることもできます。

パッチの適用順序は、製品の互換性、クラスタ構成、vSAN、バックアップ、監視、運用時間帯を踏まえて決定してください。更新作業の途中でvCenterとESXのバージョンが一時的に異なる場合も、パッチ適用前に互換性を確認する必要があります。

VCF 9.xへのアップグレードではビルド番号逆転による「back in time」制限に注意

Broadcom公式FAQは、今回のvSphere 8.0および9.0向け更新に、ビルド番号の逆転による「back in time」と呼ばれるアップグレード制限が発生すると説明しています。これは、今回のパッチで更新されたビルド番号が、移行先として予定しているVMware Cloud Foundation 9.xのビルド番号より新しくなり、アップグレード処理が古いビルドへの移行と判定される問題です。

この制限は、後続のVCFリリースで互換性が再確立される予定です。すでにVCF 9.xへのアップグレード作業を進めている組織は、脆弱性対応の緊急性とアップグレード計画への影響を比較し、Broadcom KB 67077および互換性マトリクスを確認してください。

ただし、アップグレード制限を避けるためにCritical脆弱性の更新を長期間見送るのは適切ではありません。vCenterのネットワーク到達範囲、管理ネットワークの分離、ESXホストの更新所要時間、次のVCFリリース時期を踏まえ、情報セキュリティ部門と仮想基盤運用部門で対応を決定する必要があります。

実務上の推奨対処

VMSA-2026-0006には回避策がありません。管理ネットワークへのアクセス制限やファイアウォールは露出を低減する補完策になりますが、脆弱性そのものは解消されないため、最終的には修正版の適用が必要です。

対応時には、次の項目を確認してください。

• 対象バージョンの確認:vSphere ClientのSummary画面などでvCenterとESX/ESXiのバージョン、ビルド番号を確認する
• 修正版の選定:VMSAの対応マトリクスで製品系列に対応する修正版を確認する
• 管理ネットワークの制限:更新完了までvCenterへ接続できる管理端末、ジャンプサーバー、監視・バックアップ製品を必要最小限に絞る
• vCenterのバックアップ:ファイルベースバックアップの取得状況、復元手順、外部Platform Services Controller(PSC)など旧構成の有無を確認する
• 互換性の確認:vCenter、ESX/ESXi、vSAN、NSX、バックアップ、監視、ハードウェアベンダー製アドオンの互換性を確認する
• ホスト更新計画:vMotion、DRS、HA、メンテナンスモード、再起動が必要な仮想マシンを確認する
• VMXNET3利用状況の把握:VMXNET3を利用する仮想マシンを把握するが、仮想NIC変更を恒久対策とせずESX/ESXiを更新する
• 更新後の確認:ビルド番号、クラスタ状態、HA、DRS、vMotion、vSAN、バックアップ、監視、ゲスト通信を確認する

HPE SimpliVity、Dell VxRailなどの統合製品では、標準のvSphereパッチを直接適用すると製品の認定構成から外れる可能性があります。Broadcomも、第三者の統合製品については各ベンダーの手順に従うよう案内しています。

VMware NSX、VCF Operations、VCF Automation、VMware Toolsは、今回のVMSAで直接の更新対象ではありません。ただし、vCenterやESX/ESXiを更新する際の互換性確認や、通常の保守としての更新は別途必要です。

現時点で実悪用は確認されていない

Broadcomは2026年7月29日時点で、VMSA-2026-0006に含まれる脆弱性が実際の攻撃で悪用されたことを示す情報はないとしています。また、5件はいずれもBroadcomへ非公開で報告され、修正版の公開と同時に公表されました。

一方、vCenterの2件は認証不要でネットワークから到達でき、CVSS v3.1の基本値は9.8です。VMXNET3の脆弱性も、侵害済みの仮想マシンからホストへ到達できるVMエスケープです。攻撃コードの公開や実悪用の確認を待つのではなく、緊急変更として更新計画を進めるのが適切です。

一次情報・公式情報

VMSA-2026-0006: VMware ESX, vCenter, Workstation, and Fusion updates address multiple vulnerabilities(Broadcom、2026年7月29日)
VMSA-2026-0006: Questions & Answers(Broadcom)
VMware Security Advisories(Broadcom)
VMware vCenter Server 8.0 Update 3k Release Notes(Broadcom)
VMware ESXi 8.0 Update 3k Release Notes(Broadcom)
VMware Cloud Foundation Async Patching Guide(Broadcom KB 88287)
Understanding the Back-in-Time release restriction(Broadcom KB 67077)

参考情報

Three Critical VMware Flaws Allow Auth Bypass, Code Execution, and VM Escape(The Hacker News、2026年7月29日)