対象：VMware ESX（ESXi）やvCenterを運用している人。ホスト数台の小さなチームや、ホスティング・プライベートクラウドの基盤を担当する人も含みます。本記事はBroadcomの勧告VMSA-2026-0006、米CISAの一覧、NVDの記録、セキュリティ企業のレポートにもとづく解説で、攻撃の手順や攻撃コードは扱いません。
進行中：新しい発表があればこの記事を更新します
2026年10月30日時点まだ分かっていないこと
- ログに残らなくなる操作が具体的に何か（Broadcomは詳細を出していない）
- セキュリティ企業のレポート以外に、何組織が影響を受けたか
- CISAやBroadcomが悪用についてさらに公表するか
Broadcomは2026年7月29日に勧告VMSA-2026-0006と修正版を公表しました。米CISAは10月28日（米国時間）にCVE-2026-41709をKEVへ追加し、期限を11月11日としましたが、悪用の詳細は公表していません。
入口：vCenter（CVE-2026-59309・59310）
認証の回避、コード実行。対策：vCenterの更新
ESXホストでの管理者権限
アカウント、遠隔操作の設定、仮想マシンを調べる
隠す：ESXのログ不備（CVE-2026-41709）
一部の操作が記録されない。対策：ESXの更新とログの別保管
今日やること
ESXとvCenterの版を洗い出す
各ホストのビルド番号とvCenterの版を書き出し、下の表の修正版と見比べます。委託先やハードウェアメーカーの一括提供で運用している場合は、その相手に確認が必要です。
勧告全体の更新を計画する
米連邦政府機関の期限は11月11日です。ESXだけでなくvCenterの修正も同時に入れます。vCenterの脆弱性は深刻度9.8で、うち1件は8月にすでに悪用ありとして登録されています。
ログを別のサーバーへ送る
ESXiのsyslogとvCenterのsyslogを、ハイパーバイザーの管理者が書き換えられないログサーバーへ転送する設定にします。この脆弱性で隠された操作は拾えませんが、前後の記録を消されずに守り、欠けた区間を見つけやすくなります（当サイトの判断）。
ホストのログに頼らず、侵害の形跡を調べる
各ホストとvCenterにあるアカウント、SSHやシェルが有効か（誰が有効にしたか）、見覚えのない仮想マシン、自分で入れていないソフトウェア、説明できない管理用ネットワークからの通信を確かめます。vCenterのタスクとイベントの履歴をホスト自身のログと見比べ、欠けがないかを見ます。見つかったら、そのホストとvCenterは侵害されたものとして扱い、サーバーが不正アクセスされたか調べる方法に進みます。
管理画面に到達できる範囲を絞る
回避策がないので、ESXとvCenterの管理インターフェースはインターネットに出さず、専用の管理用ネットワークからだけにし、使える場合は多要素認証で守ります。
修正版の一覧
| 製品の系統 | CVE-2026-41709の修正版 |
|---|---|
| ESX 9.1 | ESXi-9.1.0.0-25370933 |
| ESX 9.0 | ESXi-9.0.2.0100-25595025 |
| ESX 8.0 | ESXi80U3j-25429389（アップデート3j） |
| VMware Cloud Foundation 5.x | 5.2.4 |
| Telco Cloud Platform 5.0.xと5.1.x | KB449886 |
ESX 7.0は、勧告にもNVDの記録にも、この脆弱性の対象として載っていません。ただしBroadcomは同じ勧告で、最も深刻度の高い（Critical）脆弱性について7.0向けの案内（延長サポート契約が必要）を出しているので、7.0を使っている場合はBroadcomのサポートに確かめてください。
同じ勧告は次の脆弱性も直します。自分の系統のビルド番号は勧告で確かめてください。
| CVE | 製品 | 内容 | CVSS | 修正版（例） |
|---|---|---|---|---|
| CVE-2026-59309 | vCenter | 認証の回避 | 9.8 | 9.1.0.0300、9.0.2.0100、8.0 U3k |
| CVE-2026-59310 | vCenter | syslogサーバーでのディレクトリトラバーサル、コード実行の可能性 | 9.8 | 同じvCenterの版。8月18日からCISAのKEV |
| CVE-2026-47876 | ESX | VMXNET3ネットワークアダプターでの範囲外書き込み、仮想マシンのローカル管理者権限が必要 | 9.3 | ESXi-9.1.0.0200-25557999、ESXi-9.0.2.0100-25595025、ESXi80U3k-25595708 |
| CVE-2026-41703 | ESX | 範囲外読み取り、仮想マシンの展開権限が必要 | 7.6 | ESXi-9.1.0.0-25370933、ESXi-9.0.2.0100-25595025、ESXi80U3i-25205845 |
ESX 8.0では、CVE-2026-41709を直す版（アップデート3j）とCVE-2026-47876を直す版（アップデート3k）が違います。自分の系統で挙げられている最新のビルドへ上げるのが簡単ですが、CVEごとに勧告で確認してください（当サイトの判断）。8.0 U2fには、CVE-2026-47876向けの別ビルド（ESXi80U2f-25626445）が勧告にありますが、CVE-2026-41709の修正としては載っていないので、U2fを使っている場合は勧告で確かめてください。なお、CVE-2026-47876のCVSSのベクターは、勧告の本文と計算ツールのリンクで食い違っています。
何が公表されたのか
- CVE
- CVE-2026-41709（Broadcomの勧告VMSA-2026-0006）
- 種類
- ログ不備（CISAの一覧ではCWE-778）
- 深刻度
- CVSS v3.1で2.7、低（ネットワーク経由、高い権限が必要、完全性への影響は小）。CVE採番元であるBroadcomの評価
- 影響
- 悪意のある管理者が、特定の操作をログに残さずに実行できる。どの操作かはBroadcomは示していない
- 対象
- ESX 9.1・9.0・8.0。VMware Cloud Foundation 9.xと5.2.4より前の5.x。vSphere Foundation 9.x。Telco Cloud Platform 5.0.xと5.1.x
- 修正版
- 上の表を参照。勧告は2026年7月29日付、NVDの記録は7月30日公表。回避策なし
- 報告者
- Broadcomは、あるセキュリティ企業の研究者の名前を挙げている
- 悪用の確認
- 米CISAが2026年10月28日（米国時間）にKEVへ「Broadcom VMWare ESX Insufficient Logging Vulnerability」として登録。対応期限は11月11日。ランサムウェアでの使用：不明。一覧のうえで、フォレンジックの初期調査は必須とはされていない
勧告は簡潔で、ログに残らなくなる操作が具体的に何かは、当サイトが確認した範囲では公表されていません。以下は当サイトの解釈で、ベンダーの説明ではありません。管理者権限が前提なので、この脆弱性は侵入後に使うもので、攻撃者にとっての価値は、ホストの記録が不完全になる点にあります。
悪用
CISAの一覧は悪用を確認していますが、誰がどう影響を受けたかは公表していません。あるセキュリティ企業の、法律分野を扱う2026年の脅威レポート（SecurityWeekが10月29日に伝えた）は、中国と関連のあるグループがこの脆弱性をゼロデイとして、米国の組織（法律分野を含む）への複数の侵入で、2026年の初めまで使ったと述べており、SecurityWeekはその目的を監査の記録を見えにくくするためと伝えています。レポートの対象期間は2025年9月から2026年8月です。Broadcomは、同じ企業の研究者がこの脆弱性を報告したとしています。当サイトはレポートのデータを確認できておらず、背後にいる者についての評価もしません。1社の報告として扱ってください。
守る側にとっての実務上の要点は時期です。企業が述べる使用は2026年初めまでで、7月29日の修正より数か月前です。修正前に攻撃者から到達できたホストは、いま最新でも影響を受けていた可能性があります（当サイトの判断）。その期間にホストやvCenterがインターネットや信頼できないネットワークから到達できた場合は、更新だけで終わらせず調べてください。
まだ分かっていないこと
| 項目 | 状態 |
|---|---|
| ログに残らなくなる操作 | Broadcomは示していない |
| 影響を受けた組織の数 | セキュリティ企業の報告のみで未確認 |
| ランサムウェアでの使用 | CISAは不明としている |
| ESX 7.0 | この脆弱性の対象としては載っていない。勧告のCriticalの脆弱性には7.0向けの別の案内がある |
出典
2026年10月30日に確認しました（Broadcomの勧告リビジョン.2、CISAの一覧データ、NVDの記録）。
- Broadcom「VMSA-2026-0006」（リビジョン.2、2026年8月19日更新、英語） — support.broadcom.com
- 米CISA「Known Exploited Vulnerabilities Catalog」（CVE-2026-41709は2026年10月28日、CVE-2026-59310は2026年8月18日に追加） — cisa.gov
- NVD「CVE-2026-41709」 — nvd.nist.gov
- あるセキュリティ企業の法律分野の脅威レポート2026（ブログの要約、英語） — レポートのページ（英語）
- SecurityWeekの記事（2026年10月29日、英語） — securityweek.com
更新履歴
2026-10-30：初版。BroadcomのVMSA-2026-0006（リビジョン.2）、米CISAの10月28日のKEV登録、NVDの記録にもとづく。
次に読む
- 点数と登録が食い違うときの優先順位：CVEの直す順番の決め方（CVSS・EPSS・KEV）
- 同じ月に悪用された境界機器：10月中旬に悪用が確認された境界機器の脆弱性
- サーバーの点検：サーバーが不正アクセスされたか調べる方法
- 脆弱性が公表されたとき：脆弱性が公表されたときの対応手順
- 用語：CVSSとは