VMware ESX の監査ログ不備で管理者操作が記録されない（KEV・悪用確認）

High（CVSS 2.7）に分類されるBroadcom VMware ESX（9.1.x / 9.0.x / 8.0。VMware Cloud Foundation・vSphere Foundation・Telco Cloud Platform を含む）の脆弱性です。**VMware ESX に、管理者権限を持つ者が一部の操作をログに残さずに実行できる欠陥がある。** Broadcom の VMSA-2026-0006（2026年7月29日公開）によれば、悪意のある管理者がこの欠陥を使うと、特定の操作が記録されない。単独で権限を奪う種類の脆弱性ではなく、すでに管理者権限を得た攻撃者が痕跡を消すために使われ得るものである。 **評価値と悪用。** CVSS はベンダー（VMware）の CVSS 3.1 で **2.7 Low**（管理者権限が前提・PR:H）。NVD の分析は Undergoing Analysis。点数は当サイトの掲載基準（7.0）を下回るが、CISA は2026年10月28日に KEV へ収載し、実際の悪用を確認している（是正期限 **2026年11月11日**）。CISA の SSVC 評価も exploitation=active である。悪用の具体的な手口は公表されていない。 **同じアドバイザリの他の CVE。** VMSA-2026-0006 は vCenter の認証回避（CVE-2026-59309・9.8）や ESX の VMXNET3 の境界外書き込み（CVE-2026-47876・9.3）も含む。ログ不備は、こうした欠陥で管理者権限を取った後に悪用されることが想定されるため、同じ更新でまとめて塞ぐのが現実的である。

**ESX を Broadcom の修正版ビルドへ上げる。** 回避策は無い（VMSA-2026-0006）。 - **ESX 9.1.x**: ESXi-9.1.0.0-25370933 以降 - **ESX 9.0.x**: ESXi-9.0.2.0100-25595025 以降 - **ESX 8.0**: ESXi80U3j-25429389 以降 - **VMware Cloud Foundation 5.x**: 5.2.4 以降 - **Telco Cloud Platform 5.0.x / 5.1.x**: KB449886 の手順 同じアドバイザリの Critical（CVE-2026-47876 など）を塞ぐには、ESX 8.0 は 8.0 U3k（ESXi80U3k-25595708）など、より新しいビルドが要る。 **あわせて行うこと。** KEV 収載は「記録されないまま操作された可能性がある」ことを意味するので、パッチ適用だけでなく、ESX ホストの管理者アカウントと SSH・API の利用履歴、vCenter 側の操作ログを照合し、身に覚えのない管理者権限の利用が無いかを確認する。管理インターフェースはインターネットから到達できないようにする。

Broadcom VMware ESX（9.1.x / 9.0.x / 8.0。VMware Cloud Foundation・vSphere Foundation・Telco Cloud Platform を含む） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-41709）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/11/11 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。