Trusted Design

CVE-2026-59310 の詳細

CVEの情報

説明:
VMware vCenter contains a directory traversal vulnerability in the Syslog server. A malicious actor with network access to vCenter may exploit this issue to execute arbitrary code.

CVE更新日: 2026-07-30 13:16:53.993000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2026-08-18

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.025650000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2026-59310に関する脆弱性の調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2026-59310は、VMware vCenterのSyslogサーバーコンポーネントに存在する、深刻なディレクトリトラバーサル脆弱性（CWE-22）です。この脆弱性は、リモートの認証されていない攻撃者が、脆弱なvCenterインスタンスへのネットワークアクセスを利用して、意図された範囲外のファイルパスを操作し、ファイルやディレクトリにアクセスすることを可能にします。これにより、基盤となるシステム上で任意のコード実行が可能になります。

1.1 影響

この脆弱性が悪用されると、vCenterサーバーが完全に侵害される可能性があります。攻撃者は仮想化された環境をさらに侵害するための足がかりを得ることができ、リモートコード実行、サービス拒否、情報漏えい、およびセキュリティ制限のバイパスを引き起こす可能性があります。攻撃者は、永続的なコマンド＆コントロールチャネルを確立するためにリバースSSHフレームワークを展開したり、ESXiハイパーバイザー全体にBabuk派生ランサムウェアを展開したりしていることが確認されています。

1.2 深刻度

CVSSv3スコア9.8（Critical）の深刻度です。Broadcomは当初、この問題の深刻度を最大CVSSv3基本スコア9.8のCriticalと評価しています。 この脆弱性はCISAのKnown Exploited Vulnerabilities (KEV) カタログに追加されており、現在積極的に悪用されていることが示されています。

2. 対象となる環境

以下のVMware製品が影響を受けます。

  • VMware vCenter (9.1.x.x (9.1.0.0300より前)、9.0.x.x (9.0.2.0100より前)、8.0 (8.0 U3kより前))
  • VMware Cloud Foundation (9.1.x.x, 9.0.x.x, 5.x)
  • VMware vSphere Foundation (9.1.x.x, 9.0.x.x)
  • VMware Telco Cloud Infrastructure 3.0
  • VMware Telco Cloud Platform (5.1.x, 5.0.x, 4.x, 3.0)

2.1 影響を受けるOSバージョン

この脆弱性はVMware vCenterのSyslogサーバーコンポーネントに影響を与えるため、特定の基盤となるOSバージョンは詳細に指定されていませんが、vCenterアプライアンス（vCSA）が通常Linuxベースであることは考慮すべきです。影響を受けるvCenterのバージョンは上記の通りです。

2.2 影響を受ける設定

vCenterのSyslogサーバーコンポーネントが影響を受けます。脆弱なvCenterバージョンが実行され、Syslogサーバーが有効になっている（標準設定）場合に影響を受けます。攻撃にはvCenter Syslogサーバーへのネットワークアクセスが必要です。

3. 影響を受けた時の兆候

以下のような兆候が確認されています。

  • zz-poc59310-syslog.logという不正なcronファイルが/etc/cron.d/に書き込まれ、root権限での任意のコマンド実行が可能になる。
  • 永続的なコマンド＆コントロールチャネルを確立するために、reverse_sshフレームワークが展開される。
  • 特定のIPアドレス（例：http://5.34.177.38:9861/linuxFile）から「linuxFile」バックドアがダウンロードされ、実行される。多くの場合、証拠隠滅のためにファイルは削除される。
  • 管理ネットワークで定義された外部ソースやインターネットからアクセス可能なアドレスから、vCenter Syslogサーバーポートへの異常なインバウンド接続がある場合、即座に調査が必要です。
  • SSOクレデンシャルの窃取や、ESXiハイパーバイザー全体へのBabuk派生ランサムウェアの展開。

4. 推奨対策

4.1 本対策

  • 影響を受ける製品のVMwareセキュリティアップデートを直ちに適用してください。
  • VMware vCenterを以下のいずれかの修正済みバージョンにアップグレードしてください。
    • バージョン 9.1.0.0300 以降
    • バージョン 9.0.2.0100 以降
    • バージョン 8.0 U3k 以降
  • VMware Cloud Foundation、vSphere Foundation、Telco製品など、その他の影響を受ける製品については、ベンダーアドバイザリに従ってパッチを適用してください。

4.2 暫定回避策（緩和策）

Broadcomは回避策は存在せず、パッチ適用が必須の対策であると述べています。 しかし、露出を減らすためにネットワークベースの緩和策が強く推奨されます。

  • vCenter管理インターフェースおよびSyslogサーバーポートへのネットワークアクセスを、許可された管理システムのみに制限してください。
  • 管理インフラストラクチャの露出を減らすために、ネットワークセグメンテーションを実装してください。
  • vCenterへのインターネット経由のアクセスを完全に削除してください。
  • ファイアウォールルールを使用して、外部IPからのvCenterポートへのインバウンドトラフィックをブロックしてください。

他に解説すべき観点

  • CISA KEVカタログへの追加: CISAは2026年8月18日にCVE-2026-59310をKnown Exploited Vulnerabilities (KEV) カタログに追加し、2026年8月21日を修正期限としています。これは、この脆弱性が実際に悪用されていることを示しており、特に米国の連邦政府機関や規制監査の対象となる組織にとっては緊急の対応が必要です。
  • 脅威アクター: この脆弱性の悪用は、中国語のアーティファクト、中国のセキュリティ情報源からの再利用された研究、中国製ツールの使用、中国本土を除く標的パターン、およびUTC+8の営業時間中の活動に基づいて、中国と関連のあるAPT（Advanced Persistent Threat）グループによって実行された可能性が高いと中程度の確信度で評価されています。
  • 悪用のタイムライン: Broadcomは2026年7月29日にこの脆弱性を公開しました。しかし、2026年8月3日には悪用が開始され、公開から数日以内に世界中の数百のIPアドレスで活発な攻撃が確認されました。
  • 高価値ターゲット: VMware vCenterは、仮想インフラストラクチャを集中管理するため、非常に価値の高いターゲットです。そのため、vCenterが侵害された場合、データ窃盗や運用の中断など、特に危険な結果を招く可能性があります。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る