VMware vCenterの重大な脆弱性を突く実攻撃が判明、世界47カ国・360件超の端末へ持続的アクセス
要点
- ドイツのサイバーセキュリティ企業QUIRSOが、Broadcomの「VMware vCenter Server」における深刻な脆弱性（CVE-2026-59310）を悪用した実攻撃を確認した。
- 攻撃者はパストラバーサルによって侵入後、cronジョブとオープンソースツール「reverse_ssh」を配置してシステムへの持続的な遠隔アクセスを確立していた。
- 脆弱性の公開からわずか5日後に攻撃者サーバーへの接続が始まっており、世界47カ国・361件のIPアドレスで侵害が確認されている。
- 別の重大な認証回避の脆弱性（CVE-2026-59309）に対する探索スキャン活動の急増も、セキュリティ企業Defused Cyberによって観測されている。
ドイツのサイバーセキュリティ企業QUIRSOは、Broadcomが提供する仮想化管理基盤「VMware vCenter Server」に存在する深刻な脆弱性を悪用し、持続的な遠隔アクセス権を奪うサイバー攻撃が世界規模で発生していると発表した。攻撃はインシデント対応の調査を通じて明らかになったもので、すでに世界47カ国で360件を超える機器への侵害が確認されているという。Broadcomが先月下旬にセキュリティパッチを公開した直後から、脆弱性を標的とした活発な攻撃活動が始まっていたことが判明している。
悪用された脆弱性「CVE-2026-59310」と侵入の手口
今回悪用が確認されたのは、VMware vCenter Serverに存在するディレクトリトラバーサルの脆弱性「CVE-2026-59310」である。ディレクトリトラバーサルとは、本来アクセスが制限されている上位のフォルダやファイルへ不正にアクセスを試みる手法を指す。本脆弱性の深刻度を示すCVSSスコアは最高値に近い「9.8」と評価されており、ネットワーク経由でアクセス可能な攻撃者が、認証なしに任意のコードを実行できる極めて危険な欠陥とされている。
QUIRSOが実施したインシデント対応の調査によると、攻撃者はこの脆弱性に合致するパストラバーサルの手法を用いてシステムへ侵入していた。侵入後、攻撃者はホスト上で悪意あるcronジョブ（定期実行タスク）を登録し、外部からの持続的な遠隔操作を可能にするための設定を行っていたという。
47カ国・361件のIPで被害、情報開示直後から攻撃が本格化
QUIRSOの分析によると、侵害されたシステムが攻撃者側のドメインと最初に通信を確立したのは8月3日だった。これはBroadcomが脆弱性の情報を公式に開示してから、わずか5日後のタイミングにあたる。
被害を受けた固有のIPアドレスは合計361件に上り、影響は47カ国に及んでいる。被害機器の多くは、ドイツ、米国、トルコ、イラン、フランスに集中しているという。QUIRSOは、攻撃者が情報開示前から脆弱性を把握していた可能性も排除できないとしつつも、開示時期と実際の悪用時期に極めて強い相関関係が見られることから、公開された情報が攻撃キャンペーンの直接的な引き金になったとの見解を示している。
現時点で攻撃の背後にいる具体的な組織は特定されていないものの、高度な技術を持つ持続的標的型攻撃（APT）グループによる犯行が疑われている。
検知をすり抜けるオープンソースツール「reverse_ssh」の悪用
侵入後の持続的な接続確立には、「reverse_ssh」と呼ばれるオープンソースツールが使われていた。reverse_sshは、攻撃者が管理するインフラへ向けて被害端末側からアウトバウンド（外向き）のSSH接続を確立するツールである。
一般的なネットワーク防御では、外部から内部への不審なインバウンド通信を遮断する設定が多く用いられるが、被害端末側から外へ通信を開始するリバース接続の手法を用いることで、そうしたセキュリティ制限を回避できる特徴がある。
QUIRSOは、reverse_ssh自体は正規のツールでもあり単体で悪意の証拠となるわけではないと前置きしつつも、意図しないインストールや予期しない外部接続、脆弱なvCenter機器での実行が重なる場合は、直ちに調査を要する優先度の高い脅威インジケーターであると指摘している。
VMware製品はこれまでも国家背景を持つ脅威アクターの標的となってきた経緯がある。過去には中国系脅威グループ「UNC5174」がVMware ToolsやvCenterの脆弱性をスパイ活動に悪用した事例が知られているほか、2025年4月にはセキュリティ企業SentinelOneが「PurpleHaze」と呼ばれる脅威活動を報告し、Windows向けバックドア「GoReShell」内でreverse_sshの機能を悪用して南アジアの政府支援組織へ接続していた事例が明らかになっている。
もう一つの重大な欠陥「CVE-2026-59309」へのスキャンも急増
今回の事態と並行して、セキュリティ企業のDefused Cyberからは、VMware vCenterの別の重大な脆弱性「CVE-2026-59309」（CVSSスコア: 9.8）を標的としたスキャン活動が急増しているとの報告がなされている。
Defused Cyberによると、同社が設置したハニーポット（攻撃誘引システム）において、Broadcomのセキュリティアドバイザリ（VMSA-2026-0006）の公開と同時期に、機器情報の探索活動が増加していることが記録された。具体的には、POST /sdk/ へのバージョン確認リクエストや、シングルサインオンを担う /websso のSAML SSOフローの走査といった偵察行動が確認されているという。なお、CVE-2026-59309はvCenterのディレクトリエクスチェンジサービス（vmdir）における未認証での認証回避の脆弱性である。
QUIRSOのCOO兼共同創業者であるDenis Szadkowski氏がThe Hacker Newsに語ったところによると、現時点ではCVE-2026-59309を対象とした探索活動と、CVE-2026-59310の侵害を行っている攻撃者インフラとの直接的な関連性を示す十分な証拠は揃っていないという。しかし同氏は、自社で調査した事例について「単なる攻撃試行にとどまらず、実際に侵入が成功した事例であると高い確度で言える」と述べており、フォレンジック証拠からもCVE-2026-59310が初期侵入経路として強く示されていると強調している。