要点
影響を受けるバージョン
- VMware ESX 9.1／9.0／8.0、VMware Cloud Foundation 5.x、VMware Telco Cloud Platform 5.0／5.1 の、2026年7月の修正より前の版。
今すぐやること
- ESXを修正版（9.1は ESXi-9.1.0.0-25370933、9.0は ESXi-9.0.2.0100-25595025、8.0は ESXi80U3j-25429389）に更新する。回避策はない。
- 同じ勧告にはCVSS 9.8のvCenterの欠陥2件も含まれている。7月の更新を当てていなければ、ESXとvCenterの両方を更新する。
何が起きているか
事実（CISA、Broadcom、CrowdStrike）
- CISAは2026年10月28日、CVE-2026-41709をKEVに追加した。名前は「Broadcom VMware ESX Insufficient Logging Vulnerability」で、連邦機関の対応期限は11月11日。CISAは悪用の根拠や攻撃者を示していない。
- Broadcomは2026年7月29日の勧告VMSA-2026-0006でこの欠陥を修正した。内容は「悪意のある管理者が、特定の操作をログに残さずに実行できる」というもので、深刻度はLow、CVSS 3.1で2.7。回避策はない。報告者はCrowdStrikeのIan Barton氏。
- CrowdStrikeは同じ10月28日、法律業界を狙う脅威の報告書で、中国系とする攻撃者WARP PANDAが米国の組織（法律事務所を含む）への複数の侵入で、「2026年初めまで」CVE-2026-41709を「ESXiのコマンド記録を回避する脆弱性」としてゼロデイで悪用したと書いた。悪用が始まった時期や件数は示していない。
- CrowdStrikeは2025年12月のWARP PANDAの報告で、この攻撃者がvCenterにJSPのWebシェルやマルウェアBRICKSTORMを置き、ESXiホストに「Junction」、ゲストVMに「GuestConduit」という独自のバックドアを入れて、長期間気づかれずに居座っていたと報告している。このときはCVE-2026-41709には触れていない。
影響を受ける製品・バージョン
VMSA-2026-0006の対応表による。
| 製品 | 版 | 修正版 |
|---|---|---|
| VMware Cloud Foundation／vSphere Foundation（ESX） | 9.1.x | ESXi-9.1.0.0-25370933 |
| VMware Cloud Foundation／vSphere Foundation（ESX） | 9.0.x | ESXi-9.0.2.0100-25595025 |
| VMware ESX | 8.0 | ESXi80U3j-25429389 |
| VMware Cloud Foundation（ESX） | 5.x | 5.2.4（非同期パッチの手順はKB88287） |
| VMware Telco Cloud Platform（ESX） | 5.0.x／5.1.x | KB449886 |
- 悪用には、ESXの管理者権限が必要（Broadcomの説明）。
修正版・回避策
- 修正：上の表の版。Broadcomは回避策を示していない。
- 同じVMSA-2026-0006では、vCenterの認証回避（CVE-2026-59309、CVSS 9.8）、vCenterのsyslog関連のディレクトリトラバーサル（CVE-2026-59310、CVSS 9.8）、ESXのVMXNET3の欠陥（CVE-2026-47876、CVSS 9.3）も修正されている。7月の更新が未適用なら、これらも残っている。
今すぐやること
- 各ESXiホストで
esxcli system version getを実行し、版とビルド番号が上の表の修正版以降かを確かめる。 - 修正前の版で動いていた期間のESXiのログは、「記録されていない操作があり得る」前提で読む。ログに異常がないことは、侵入がなかった証拠にならない。
- ESXiとvCenterのログを外部のsyslogサーバーに転送しているかを確かめる（
esxcli system syslog config get）。ホスト上だけのログは、管理者権限を取った攻撃者に消されうる。 - CrowdStrikeがWARP PANDA対策として挙げている点を見直す。ESXiへのSSHの無効化、rootや
vpxuserでのSSHログインの監視、execInstalledOnly（インストール済みのバイナリだけを実行させる設定）の有効化、ESX 8.0以降でのvpxuserのシェルアクセスの無効化、ESXiとvCenterからインターネットへの通信の制限、見覚えのないVMの作成の監視など。 - ESXiホストでポート8090を待ち受ける見慣れないプロセスや、ゲストVMでVSOCKのポート5555を待ち受けるプロセスがないかを確かめる（CrowdStrikeが報告したJunction・GuestConduitの特徴）。
考察
- CVSSの低さと悪用の価値は一致しない: この欠陥はCVSS 2.7で、単独では侵入にも権限昇格にも使えない。しかし、すでに管理者権限を持つ攻撃者にとっては、痕跡を残さずに作業できることに大きな価値がある。長く居座ることを目的とする攻撃者がゼロデイで使っていたのは、その裏付けと言える。深刻度の点数だけで更新の優先度を決めると、この種の欠陥は後回しになる。
- 修正から3か月後のKEV入り: 修正は7月29日に出ており、KEVへの追加はその91日後になった。CrowdStrikeの記述では悪用は「2026年初めまで」で、修正前の話になる。KEV入りは新しい攻撃の発生ではなく、過去の侵入の調査結果が公表されたことによるものとみられる。
- 「ログに残っていない」期間をどう扱うか: 修正を当てても、それ以前に記録されなかった操作は戻らない。ESXiを長く修正前の版で動かしていた組織は、ログ以外の手がかり（ホスト上の不審なファイルやプロセス、外向きの通信、VMの不審な複製）で確かめる必要がある。