VMware vCenterの深刻な脆弱性を突くサイバー攻撃が世界で発生、中国関連グループの関与が浮上

要点

• Broadcomがパッチを公開した直後のVMware vCenterの脆弱性を悪用する広範囲なサイバー攻撃が確認された。

• 調査にあたったセキュリティ企業は、攻撃者の活動時間帯や使用ツールなどの痕跡から中国語話者グループの関与を推定している。

• 脆弱性情報の公開からわずか5日で攻撃が始まり、世界47カ国にわたる361件のIPアドレスで侵害が確認された。

• 攻撃者は認証バイパスやsyslog機能の悪用を通じて管理者アカウントを作成し、独自の遠隔操作バックドアを設置していた。

• Broadcomが提供する仮想化管理基盤「VMware vCenter」において、修正パッチが公開されたばかりの脆弱性を悪用したサイバー攻撃が世界規模で展開されていることが明らかになりました。ドイツのインシデント対応企業QUIRSOの研究者が調査結果を報告したもので、攻撃には中国との関連が疑われる持続的標的型攻撃（APT）グループの関与が指摘されています。

パッチ公開から5日で360件超のシステムが被害に

標的となったのは、VMware vCenter Serverに存在していた「CVE-2026-59310」です。この脆弱性は、悪意ある第三者が不正なファイルパスを指定して想定外の領域を操作する「ディレクトリトラバーサル」と呼ばれる欠陥で、悪用されると任意のコードを実行される危険があります。共通脆弱性評価システム（CVSS）のスコアは最も危険度が高いレベルに近い「9.8」と評価されており、Broadcomは2026年7月29日に修正プログラムを公開していました。

しかし、詳細情報が公開されてからわずか5日後には、この脆弱性を狙った攻撃活動が開始されたといいます。QUIRSOの推計によると、被害は世界47カ国に広がり、侵害された一意の被害IPアドレスは361件に達しました。国別の感染数はドイツの55件を筆頭に、米国の41件、トルコの38件、イランの26件、フランスの25件と、世界各地に分散して被害が確認されています。

中国語話者アクターによる関与の根拠

QUIRSOは今回の攻撃キャンペーンについて、中程度の確信度を持った評価として、中国語を話す脅威アクターによって運営されている可能性が高いと報告しました。主な活動時間帯が中国標準時を含む「UTC+08:00」の稼働時間パターンと一致している点が挙げられています。

また、攻撃者が作成したスクリプト内に中国語のアーティファクト（痕跡）が含まれていたことや、中国国内のセキュリティ出版物で公表された研究成果の再利用が見られたことも根拠とされています。さらに、中国語圏で用いられるツールや管理ソフトウェアの反復的な使用、攻撃対象から中国本土が除外されている被害傾向なども、同地域との関連性を裏付ける要素として説明されています。

認証バイパス「CVE-2026-59309」の悪用と正規機能への偽装

QUIRSOが分析した侵害事例では、CVE-2026-59310に加えて、別の深刻な脆弱性「CVE-2026-59309」も標的になっていました。こちらは正規の手続きを経ずにアクセスを可能にする「認証バイパス」の脆弱性で、活発なスキャン活動が観測されています。

分析されたアプライアンスでは、2026年8月1日の段階でCVE-2026-59309の悪用と合致する不審な動作が確認され、vCenter上に新たな管理者アカウントが作成されていました。このアカウント作成の際、作成元の正規管理者アカウントにはログインイベントが記録されていませんでした。作成処理は特定の外部IPアドレス（146.59.252[.]178）から行われており、8月3日にはREST API経由でvSphere環境の探索が行われていました。その際、攻撃者は「GoodMoodle-VCFleet/1.0」というユーザーエージェント文字列を用い、正規のVMware関連の活動に見せかける偽装を施していたといいます。なお、「VCF Fleet」はBroadcomがVMware Cloud Foundation（VCF）バージョン9.0で導入した複数インスタンスの集中管理機能です。

QUIRSOによると、新たに作られた管理者アカウント「vcenter_admin」はその後の攻撃フェーズでは使われておらず、同じシステム上で8月3日から始まったCVE-2026-59310の悪用プロセスとの間に直接的な重複は見られなかったとされています。

syslogとcronを悪用したバックドア「linuxFile」の設置

CVE-2026-59310の悪用手口では、サーバーの定期実行機能（cronデーモン）が悪用されました。最初に「zz-poc59310-syslog.log」という不正なファイルが記録されたことが確認されています。このファイル名には脆弱性識別番号（CVE番号）が含まれており、脆弱性の詳細公開後に作成された概念実証（PoC）コードを直接反映した命名規則であると分析されています。

ファイル名末尾の文字列はアプライアンスのリモートsyslog（システムログ転送機能）の命名規則を模倣したものでしたが、実際の配置場所はsyslogの出力先ではなく、特権実行が行われる「/etc/cron.d」配下でした。これにより、syslogサーバーの仕組みを悪用して特権ディレクトリへ不正ファイルを配置した手口が浮き彫りになっています。

配置されたファイルをもとに、curlまたはwgetコマンド経由で外部サーバー（5.34.177[.]38:9861）からバックドアプログラムが取得・実行され、実行後にログファイルは消去されました。この攻撃によってシステム内に「linuxFile」と呼ばれるインプラント（侵入プログラム）が設置されました。

linuxFileは、攻撃者にリモートからのコマンド実行権限を与えるよう設計されています。侵入先のシステムからWebSocket通信を確立して指令サーバー（C2サーバー）へ接続し、受信した指示をシェル（/bin/sh）で実行して結果を攻撃者へ返送します。C2サーバーのアドレスはXOR演算によって難読化されており実行時に復元される仕組みで、通信データ自体もマルウェア独自のアプリケーション層暗号化によって保護されていたと報告されています。