CVE詳細 - CVE-2026-22719-

CVE-2026-22719 の詳細

CVEの情報

説明:
VMware Aria Operations contains a command injection vulnerability. A malicious unauthenticated actor may exploit this issue to execute arbitrary commands which may lead to remote code execution in VMware Aria Operations while support-assisted product migration is in progress. To remediate CVE-2026-22719, apply the patches listed in the 'Fixed Version' column of the ' Response Matrix https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/36947 ' in VMSA-2026-0001 Workarounds for CVE-2026-22719 are documented in the 'Workarounds' column of the ' Response Matrix https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/36947 ' in VMSA-2026-0001

CVE更新日: 2026-02-25 20:23:46.840000

CVSSバージョン: 3.1

CVSSスコア: 8.1

KEVの情報

KEV更新日: 2026-03-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.180810000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2026-22719に関する調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2026-22719は、VMware Aria Operations（旧vRealize Operations）に存在するコマンドインジェクションの脆弱性です。この脆弱性は、サポート支援による製品移行 (support-assisted product migration) の進行中に、認証されていない攻撃者が任意のコマンドを実行し、リモートコード実行 (RCE) に至る可能性があるというものです。根本原因は、サポート支援移行ワークフローにおける不適切な入力検証とサニタイズにあります。

CWE (Common Weakness Enumeration): CWE-77 (Improper Neutralization of Special Elements used in a Command)

1.1 影響

認証されていない遠隔の攻撃者がネットワーク経由で任意のコマンドを実行し、結果としてリモートコード実行（RCE）を引き起こす可能性があります。
攻撃が成功した場合、管理者権限での任意コード実行が可能となり、仮想基盤全体の制御権が奪われる可能性があります。
Aria OperationsがvCenterなどと連携している場合、vCenter連携を経由して仮想マシン群への攻撃の足がかりとなるなど、横展開のリスクがあります。
監視データの改ざんや窃取といった情報漏洩のリスクも存在します.
米国CISAのKnown Exploited Vulnerabilities (KEV) カタログに登録されており、実際の攻撃での悪用が確認されている、またはその可能性が指摘されています。

1.2 深刻度

CVSS v3.1スコア: 8.1 (High)。一部の情報源では9.8（Critical）と記載されています。
EPSS (Exploit Prediction Scoring System): 17.713% (97th percentile)。このスコアは、今後30日以内にこの脆弱性が悪用される確率を示します。

2. 対象となる環境

2.1 影響を受けるOSバージョン

CVE-2026-22719は、以下のBroadcom (旧VMware) 製品に影響を与えます。

VMware Aria Operations: 8.0から8.18.6未満のバージョン。
VMware Cloud Foundation (VCF Operations): 4.0から5.2.3未満、および9.0から9.0.2.0未満のバージョン。
VMware Telco Cloud Platform: 2.0から5.2.3未満、および4.0から5.1までのバージョン。
VMware Telco Cloud Infrastructure: 2.0から5.2.3未満、および2.2から3.0までのバージョン。

2.2 影響を受ける設定

脆弱性は、VMware Aria Operationsのサポート支援による製品移行 (support-assisted product migration) が進行中の場合に悪用される可能性があります。
攻撃には認証が不要であり、ネットワークアクセスがあれば悪用される可能性があります。
Aria Operationsの管理ポート（デフォルト443）がインターネットや広範な社内ネットワークに公開されている場合、悪用されるリスクが高まります。
Aria OperationsがvCenter、vSAN、NSXなどの他のVMware製品と連携している場合、攻撃の影響範囲が拡大する可能性があります。

3. 影響を受けた時の兆候

以下のログを調査することで、侵害の痕跡を確認できる可能性があります。

Aria Operationsのアクセスログ: REST APIへの不審なリクエスト、特に認証ヘッダーのないPOSTリクエスト。
OSレベルのプロセスログ: Aria Operationsのサービスアカウントから起動された不審なプロセス。
ネットワークログ: Aria Operationsサーバーから外部への不審なアウトバウンド通信。

4. 推奨対策

4.1 本対策

ベンダーが提供するセキュリティパッチを速やかに適用することが強く推奨されます。

VMware Aria Operations: 8.18.6以降のバージョンにアップデート。
VMware Cloud Foundation Operations: 9.0.2.0以降のバージョンにアップデート。
VMware Cloud Foundation: 5.2.3以降のバージョン、またはVMSA-2026-0001に記載されているKB92148を適用。
VMware Telco Cloud Platform / Telco Cloud Infrastructure: VMSA-2026-0001に記載されているKB428241を適用、または修正版へのアップデート（5.2.3以降）。

詳細はBroadcomのセキュリティアドバイザリ VMSA-2026-0001: VMware Aria Operations updates address multiple vulnerabilities を参照してください。

4.2 暫定回避策（緩和策）

パッチの即時適用が困難な場合は、以下の暫定的な回避策を適用してリスクを低減することが推奨されます。

REST APIポートへのアクセス制限: ファイアウォール設定により、REST APIポートへのアクセスを信頼できるIPアドレス範囲に限定し、外部からの攻撃を遮断します。
WAFによるブロック: Web Application Firewall (WAF) を使用して、該当するエンドポイントへの既知の攻撃パターンをブロックします。
Aria Operationsの一時停止: 監視機能が停止しますが、Aria Operationsを一時的に停止することで攻撃面を完全に排除できます。
ネットワークセグメンテーションの強化: VLANやファイアウォールの設定を変更し、ネットワークセグメンテーションを強化することで、攻撃の横展開リスクを低減します。
Broadcom提供のシェルスクリプトの実行: 「aria-ops-rce-workaround.sh」というシェルスクリプトを、各Aria Operations仮想アプライアンスノードでroot権限で実行することで、露出を減らすことができます（パッチ適用までの間）。
KB430349の回避策: Broadcomのナレッジベース KB430349: Workaround instructions for CVE-2026-22719 に記載されている一時的な回避策を適用します。

注意: 緩和策はあくまでパッチ適用までの一時的な措置であり、根本的な解決策ではありません。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る