JPCERT/CCは、Broadcomが2026年7月29日に公表した複数のVMware製品の脆弱性について注意喚起している。対象は仮想化基盤や関連コンポーネントで、認証回避や権限昇格、情報漏えい、サービス妨害などにつながるおそれがあり、一部の脆弱性はvCenterの侵害やバックドア設置につながった事例が報告されている。
脆弱性の詳細
Broadcomは、VMware製品に関するセキュリティアドバイザリ（VMSA-2026-0006）において、複数の脆弱性を公表している。これらの脆弱性には、VMware ESXiやvCenter、Cloud Foundation、Workstation、Fusionなどに影響を与えるものが含まれ、認証を迂回して管理インターフェースへアクセスされたり、任意のコード実行や情報漏えい、サービス妨害（DoS）に至るおそれがある。
特に、2026年8月3日以降、vCenterに対してディレクトリトラバーサルを悪用した攻撃によりバックドアが設置された事例や、管理者アカウントが不正に作成された可能性が報告されている。このような攻撃は、インターネットから到達可能な管理インターフェースや不十分なアクセス制御を足掛かりとして行われることが多く、仮想化基盤の管理環境が侵害されると、複数の仮想マシンや業務システムへ連鎖的な影響が生じるリスクが高い。
注意：本入力にはCVE番号およびCVSSスコアの記載がないため、本記事内で特定のCVE番号・CVSSスコアを断定して掲載できない。BroadcomおよびJPCERT/CCが当該アドバイザリやWeekly Report本文で提示しているCVE番号・CVSSスコアがある場合は、必ず社内の管理台帳や対応記録に転記し、優先度判断（緊急度）に反映することが推奨される。
JPCERT/CCによると、脆弱性の悪用リスクは、当該製品がインターネットに公開されているか、管理用インターフェースが外部から到達可能か、運用上の権限分離が適切か、といった条件に左右される。特に仮想化基盤は一度侵害されると影響範囲が広がりやすく、複数システムの同時停止や情報漏えいにつながるおそれがある。
影響を受ける製品・バージョン
- JPCERT/CCがWeekly Reportで取り上げた複数のVMware製品（具体的な製品名・バージョンはBroadcomのセキュリティアドバイザリおよびJPCERT/CC Weekly Report本文の記載に従う）
- 仮想化基盤（ハイパーバイザー）および管理コンポーネント（例：ESXiホスト、vCenter Server、Cloud Foundationなど）
- 当該製品に付随する周辺コンポーネント（プラグイン、ツール、エージェント等）
推奨される対策
- 修正の適用：JPCERT/CCは、Broadcom（VMware）が提供する修正プログラム（アップデート）を適用するよう注意喚起している。まず影響を受ける製品と導入バージョンを洗い出し、ベンダーが示す修正済みバージョンへ更新する。Broadcomは多くの脆弱性について回避策を提供しておらず、パッチ適用が唯一かつ推奨される対策とされている。
- 公開範囲の見直し：JPCERT/CCによる注意喚起を踏まえ、管理用画面や管理APIがインターネットから到達できない構成にする。やむを得ず遠隔管理が必要な場合は、社内VPN経由に限定し、直接インターネットからアクセスされないようにする。
- 権限の最小化：管理者権限の利用を最小限にし、運用担当のアカウントを分離する。共通IDの運用を避け、退職・異動時に確実に権限を剥奪する。仮想マシンの配備権限や管理権限を必要最小限に絞り、不要なローカル管理者権限や高権限アカウントを削減する。
- ログ監視と検知：認証失敗の急増、権限変更、設定変更、未知のプロセス起動など、侵害兆候になり得るイベントを監視し、保全できるようにする。特にvCenterやESXiホストの管理操作ログ、認証ログ、構成変更ログを集中管理し、異常があれば早期に検知できる体制を整える。
- バックアップと復旧訓練：仮想基盤の障害やランサムウェアを想定し、オフラインまたは改ざん耐性のあるバックアップを確保する。仮想マシンや構成情報（vCenter設定、ESXi構成など）のバックアップ取得方法と復旧手順を定期的に確認し、侵害時・障害時に迅速に復旧できるよう訓練しておく。
日本の中小企業が今すぐ取るべき行動
- 最優先：自社で稼働中のVMware製品名とバージョン、管理画面の公開状況（外部到達の有無）を棚卸しする。特に、インターネット経由でvCenterやESXiの管理インターフェースにアクセス可能になっていないかを点検する。
- 次に：保守ベンダーまたはSIerに、JPCERT/CCが取り上げた脆弱性への該当有無、適用すべき修正、停止時間見込みを確認し、更新計画を確定する。Broadcomのアドバイザリ（VMSA-2026-0006等）を前提に、自社環境の影響範囲と更新優先度を整理してもらうことが望ましい。
- 並行して：管理用アクセス経路を社内VPN等に限定し、不要なポート公開や外部公開DNS名がないかを点検する。既存のファイアウォール設定やリバースプロキシ設定を確認し、管理系の通信がインターネットから直接到達しないようにする。
- あわせて：管理者アカウントの棚卸し（不要ID削除、強固な認証、共有ID廃止）と、重要ログの保存設定を見直す。多要素認証（MFA）の導入やパスワードポリシーの厳格化を検討し、仮想化基盤の管理ログが十分な保持期間・保全方法で保存されているか確認する。
CSRIからの現場アドバイス
実際のペネトレーションテストでは、仮想化基盤の管理画面が「一時的に開けたまま」になっていたり、古いバージョンが更改されず残っていたりする事例を頻繁に確認する。診断報告書でよく指摘されるのが、運用都合による更新延期と、管理権限の過剰付与だ。
例えるなら、仮想化基盤は社内の多くの部屋の鍵を束ねた「マスターキー置き場」のようなものだ。つまり、ここに弱点があると、個別のサーバ1台ではなく、複数の業務システムへ連鎖的に影響しやすい。だからこそ、今すぐ塞ぐ価値が大きい。
まず仮想化基盤と管理ツールのバージョンを確認し、保守ベンダーに「当該Weekly Reportで言及の脆弱性に該当するか」と更新要否を依頼する。次に管理画面への到達経路を点検し、社外から直接入れないようVPN限定にする。最後に更新前後でログの保存とバックアップの健全性を確認する。