CyberSecurityAction

脆弱性情報 / サイバー攻撃トレンド

VMware vCenter CVE-2026-59310（CVSS 9.8）が実被害：リバースSSHで永続化される攻撃キャンペーン

VMware vCenter RCE脆弱性CVE-2026-59310が積極悪用。リバースSSHで永続化。仮想化基盤を持つ組織は即時パッチ必須。

喜村 圭佑（編集責任者）更新 約4分

SHARE

XB!in
VMware vCenter CVE-2026-59310（CVSS 9.8）が実被害：リバースSSHで永続化される攻撃キャンペーン

THREAT GAUGE算出基準

IMPACT（影響範囲）9.5
URGENCY（対応緊急度）9.5
EXPLOIT（悪用の容易さ）9.5

“CVSS 9.8・認証不要のRCEが実攻撃で悪用中。vCenter侵害は配下の全ESXiホスト・VMの掌握に直結する。”

01 · Overview

ニュースの概要

VMware vCenter ServerのRCE脆弱性CVE-2026-59310（CVSS 9.8）を悪用するアクティブな攻撃キャンペーンが確認された。攻撃者はリバースSSHツールを仕込んで永続アクセスを確立しており、仮想化基盤全体の乗っ取りにつながる重大なリスクがある。

BleepingComputerおよびThe Hacker Newsの報告によると、Broadcom VMware vCenter Serverのディレクトリトラバーサル脆弱性CVE-2026-59310（CVSS 9.8）を悪用した攻撃が現在進行形で展開されている。攻撃者はネットワークアクセスさえあれば認証不要でRCEを実行でき、その後リバースSSHツールを展開して攻撃者が制御するサーバーへのアウトバウンド接続を確立することで永続的なリモートアクセスを維持する。

vCenterは仮想マシン（VM）群を一元管理するコントロールプレーンであるため、侵害されると配下のすべてのESXiホストおよびVM、仮想ネットワーク全体が攻撃者の支配下に入る可能性がある。ランサムウェアによる大規模暗号化やデータ外部持ち出しの起点となるケースが過去にも確認されており、仮想化インフラを持つ組織は特に緊急性が高い。

QUIRSO（セキュリティリサーチ企業）が観測したキャンペーンでは、攻撃者はアウトバウンド接続（通常ファイアウォールで見落とされやすい方向）を使ってC2通信を確立するため、インバウンド遮断だけでは防御できない。

CVE番号
CVE-2026-59310
CVSSスコア
9.8

BleepingComputer（2026-08-13）、The Hacker News（2026-08-13）を参照。Broadcom公式アドバイザリを一次情報源として確認。継続観察中。

02 · Analysis

詳細な原因解説

CVE-2026-59310はBroadcom VMware vCenter Serverのディレクトリトラバーサル脆弱性であり、CVSS 9.8と評価されている。攻撃者はネットワークアクセスさえあれば認証不要でリモートコード実行が可能となる。

被害が拡大する構造的な理由は、vCenterが仮想マシン群を一元管理するコントロールプレーンである点にある。侵害されると配下のすべてのESXiホスト、VM、仮想ネットワークが攻撃者の支配下に入りうる。個別サーバーの侵害とは影響の次元が異なる。

本キャンペーンの特徴は、RCE成功後にリバースSSHツールを展開して永続化を図る点である。攻撃者が制御するサーバーへのアウトバウンド接続を確立するため、インバウンド通信の遮断だけでは検知も遮断もできない。ファイアウォールで見落とされやすい通信方向が選ばれている。

仮想化基盤の侵害はランサムウェアによる大規模暗号化やデータ持ち出しの起点となる。ハイパーバイザー層で暗号化されるとVM単位のバックアップ運用が機能しない場合があり、復旧の難易度が上がる。

03 · Action

今からできる主な対策

明日からすぐ

1週間以内

05 · Forecast

今後起こりうる展開と対策

SCAMPER分析：vCenter RCE脆弱性を踏まえた仮想化基盤の強化

Q. vCenterへの管理集約という利点を保ちつつ、侵害時の影響をどう限定するか？

【Substitute（代替）】vCenter単一集中管理に代え、権限分離型の管理構造（Delegated Administration）を代替として採用する。【Combine（結合）】vCenterアクセスにMFA＋PAM（特権アクセス管理）＋セッション録画を組み合わせ、操作の完全な監査証跡を残す。【Adapt（適応）】クラウドネイティブ環境でのVMware Cloud on AWSなど、マネージドvCenter移行を適応オプションとして検討する。【Modify（変更）】vCenterのネットワーク配置をDMZから完全分離された管理セグメントに変更する。【Put to other uses（転用）】今回の対応手順を、Nutanix・Hyper-V等ほかの仮想化基盤のセキュリティレビューにも転用する。【Eliminate（排除）】インターネットからのvCenter直接アクセスを全面排除し、VPN必須化する。【Reverse（逆転）】「仮想化基盤は内部にある」という前提を逆転させ、内部脅威・サプライチェーン攻撃にも備えた設計にする。

システム思考：vCenter侵害が連鎖的に引き起こすインフラ崩壊

Q. vCenter1台の侵害は、仮想化基盤全体にどのような連鎖を引き起こすか？

vCenterは「仮想化インフラの神経中枢」であり、侵害されると単一VMではなくすべてのワークロードが危険にさらされる。攻撃者はvCenterの権限でVMのスナップショットを取得・持ち出し、本番VMをシャットダウン、バックアップを削除してランサムウェア交渉を有利に進める戦術を取ることがある。また、リバースSSHによる永続化はインバウンドFW遮断を回避するため、既存のセキュリティ監視で見つかりにくい。vSphere環境の防御には「侵害前提」のDetect & Respondアプローチが不可欠である。

vCenter環境での緊急対応と永続化の遮断

最優先はvCenterのバージョン確認とパッチ適用である。実攻撃が進行中であり、認証不要で悪用可能なため、インターネットから到達可能なvCenterは即時の対応対象となる。あわせてvCenterの管理インターフェースがインターネットに直接公開されていないかを確認し、公開されている場合は遮断する。

本キャンペーンではアウトバウンド接続による永続化が行われるため、インバウンド遮断だけでは不十分である。vCenterからの外部向け通信を監視し、想定外の宛先へのSSH接続やC2通信の兆候がないかを確認する。管理サーバーが外部へ能動的に接続する必要は通常ないため、アウトバウンドを既定拒否とする構成が有効である。

すでに侵害されている可能性を踏まえ、vCenterのログとvSphere側の操作履歴を点検する。永続化ツールが仕込まれている場合、パッチ適用後もアクセスが維持される。不審な設定変更・アカウント追加・スケジュールタスクの有無を確認した上で、必要に応じて再構築を検討する。

06 · AI Prompt

AI対策プロンプト

あなたは[組織名]（業種：[業種]）の仮想化インフラ管理者です。VMware vCenter CVE-2026-59310の緊急対応計画を作成してください。①影響を受けるvCenterバージョンの特定方法、②ネットワーク分離の具体的設定手順、③侵害指標（IoC）の確認ポイント（ログパス・コマンド含む）、④事業継続を維持しながらパッチ適用するメンテナンス手順、を含めること。

プロンプトのカスタマイズ

以下を入力すると、上のプロンプトに反映されます。

キーワード

  • CVE-2026-59310
  • VMware vCenter
  • リモートコード実行
  • リバースSSH
  • 仮想化基盤

SOURCES · 参考情報源