VMware Aria Operations の未認証コマンドインジェクション（移行作業中に成立）

High（CVSS 8.1）に分類されるBroadcom (VMware) VMware Aria Operations / Cloud Foundationの脆弱性です。VMware Aria Operations にコマンドインジェクションがある。未認証の攻撃者が任意のコマンドを実行でき、リモートコード実行に至る可能性があるが、成立するのはサポート支援による製品移行（support-assisted product migration）が進行中のときに限られる、という条件付きの欠陥である。この「特定の作業中だけ窓が開く」という性質が、CVSS の攻撃条件の複雑さ（AC:H）に反映されている。NVD の記述自体に対処方法が書かれており、VMSA-2026-0001 の Response Matrix の Fixed Version 列にあるパッチを適用すること、および同 Matrix の Workarounds 列に回避策が記載されていることが明示されている。影響は NVD の CPE によると Aria Operations 8.0 以上 8.18.6 未満、Cloud Foundation 4.0 以上 5.2.3 未満および 9.0 以上 9.0.2.0 未満、Telco Cloud Infrastructure 2.2 以上 3.0 以下、Telco Cloud Platform 4.0 以上 5.1 以下。CVSS は CNA の VMware による 8.1 High（AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H）で、NVD 自身の Primary スコアは付与されていない。NVD の vulnStatus は Analyzed。CISA KEV には 2026-03-03 に収載され、是正期限は 2026-03-24。ランサムウェア利用は Unknown（不明）。

判定は版の確認が中心になる。Aria Operations の管理画面でビルドを確認し、8.18.6 未満なら該当する。Cloud Foundation として導入している場合は 5.2.3 未満または 9.0.2.0 未満が対象になるため、Cloud Foundation 側の版でも突き合わせる。Aria Operations 8.18.6 のリリースノートが Broadcom の techdocs に公開されているので、Fixed Version の確認はそこでも取れる。この CVE で特に注意すべきは「移行作業中」という条件の扱いである。恒常的に窓が開いているわけではないため、日常の露出は小さいと判断しがちだが、逆に言えば移行作業を計画している組織はその期間だけ未認証 RCE の的になる。したがって、まだ移行を予定しているなら、移行の前にパッチを当てるという順序が重要になる。すでに移行を終えている環境でも、パッチは当てておく（今後のサポート作業で再び窓が開く可能性を残さない）。緩和策は Broadcom が Response Matrix の Workarounds 列に記載しており、あわせて knowledge.broadcom.com の記事 430349 に緩和手順が公開されている。パッチ適用の日程が取れない場合はまずこれを適用する。加えて、Aria Operations の管理インタフェースをインターネットや広い業務セグメントから到達できないようにしておくことは、この CVE に限らず有効である。KEV 収載＝実際に悪用されているため、移行作業を行った期間に Aria Operations が広い経路から到達可能だった場合は、痕跡の確認を行う。具体的には、アプライアンス上の追加されたローカルアカウントと SSH 公開鍵、想定外のプロセスやスケジュール実行、そして Aria Operations が保持している vCenter / ESXi への接続アカウントの利用履歴である。監視製品は環境全体の資格情報を持つため、侵害時の影響が広い。完了条件は、（1）8.18.6 以降（Cloud Foundation は該当 Fixed Version 以降）へ更新、（2）更新前は Workarounds 列の緩和策を適用済み、（3）移行作業期間の到達経路が広かった場合は痕跡確認と資格情報の再発行が済んでいることである。KEV 是正期限 2026-03-24 は経過している。

Broadcom (VMware) VMware Aria Operations / Cloud Foundation を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-22719）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/03/24 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。