2026-10-30
VMware ESX脆弱性 CVE-2026-41709（CVSS 2.7）｜低い深刻度のログ不備を米CISAが悪用確認として登録。VMSA-2026-0006の全体を更新し、ホストを調べる
CVE-2026-41709は、VMware ESXのログ不備の脆弱性です（CVSS 2.7、深刻度は低）。すでに管理者権限を持つ攻撃者が、特定の操作をログに残さずに実行できます。Broadcomは2026年7月29日、勧告VMSA-2026-0006で修正版を出しました。回避策はありません。米CISAは2026年10月28日（米国時間）、悪用が確認された脆弱性の一覧（KEV）に追加し、米連邦政府機関の期限を11月11日としました。あるセキュリティ企業の脅威レポートは、中国と関連のあるグループがこの脆弱性をゼロデイ（修正版の公開前）で使い、米国の組織への複数の侵入で、2026年の初めまで使ったと述べており、SecurityWeekはその目的を監査の記録を見えにくくするためと伝えています。当サイトはこのレポートを独自には確認できていません。この脆弱性だけでは侵入できませんが、影響を受けたホストのログに、侵入者の行動が残っていないかもしれません。同じ勧告にはvCenterの深刻度9.8の脆弱性が2件あり、うち1件（CVE-2026-59310）は8月18日にCISAが悪用ありとして登録しています。ESXだけ直しても入口が残ります。当サイトの結論：勧告全体の修正版へESXとvCenterを更新し、ホストのログを別のサーバーへ送り、ログだけを信じずに侵害の形跡を調べる。