VMware

米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、7月に修正されたVMware vCenterの重大な脆弱性を悪用した攻撃が現在も続いている中、ランサムウェア犯罪グループもこの攻撃に加わっているとして、セキュリティチームに警告を発した。

ブロードコムは7月29日、このセキュリティ上の欠陥（CVE-2026-59310として追跡）に対処し、これをvCenter Syslogサーバーにおける重大なディレクトリトラバーサル脆弱性であると説明した。この脆弱性を悪用すれば、認証されていない攻撃者が任意のコードを実行できる。

同社は当時、補足FAQを通じて顧客に対し、CVE-2026-59310の修正を緊急事項として扱い、できるだけ早くパッチを適用するよう警告していた。

その2週間後、デジタルフォレンジックおよびインシデント対応（DFIR）企業であるQUIRSOは、高度持続的脅威（APT）とみられる攻撃者が、この脆弱性を悪用して持続性とリモートアクセスを確保するためのリバースSSHツールを展開し始めた結果、47カ国にわたる361件以上のIPアドレスが侵害されたことを報告した。

その数日後、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、CVE-2026-59310を「既知の悪用済み脆弱性（KEV）カタログ」に追加し、政府機関に対し3日以内にvCenterシステムのセキュリティ対策を講じるよう命じた。

週末にかけて、CISAはKEVカタログを再度更新し、このセキュリティ脆弱性がランサムウェア集団によって積極的に悪用されていることを指摘した。

インターネットセキュリティ脅威監視機関のShadowserverは現在、オンライン上で公開されている450台以上のVMware vCenterサーバーを追跡しているが、この脆弱性に対してすでにパッチが適用されたサーバーの数に関する情報はない。

VMwareがランサムウェア集団の標的となる

米国のサイバーセキュリティ機関は、CVE-2025-60710を標的としたランサムウェア攻撃に関する詳細をまだ公表していないが、VMwareサーバーは頻繁に標的とされている。これは、侵害されたvCenterやESXiサーバーを通じて、組織のネットワークや内部システムに保存された機密データへのアクセスが可能になるためである。

近年、多くの企業がVMware仮想マシンを利用して企業データを管理・保存するようになったため、複数の ランサムウェアグループが VMware仮想マシンを標的とした専用の暗号化ツールを開発している。

CISAは2月、ランサムウェアグループがVMware ESXiのサンドボックス脱出の脆弱性（CVE-2025-22225）の悪用を開始したと警告した。この脆弱性は、少なくとも2024年2月以降、中国語圏の脅威アクターによってゼロデイ攻撃の標的とされてきた。

今年に入ってから、同サイバーセキュリティ機関は、2月および3月の攻撃で悪用されたとして、VMware Aria Operations（CVE-2026-22719）およびVMware vCenter Server（CVE-2024-37079）の脆弱性についても指摘している。

過去5年間で、CISAは26件のVMwareの脆弱性が実環境で悪用されていると特定しており、そのうち9件はランサムウェア攻撃でも悪用されていた。