VMware vCenter Syslog サーバのディレクトリトラバーサル（未認証でリモートコード実行・実際に悪用・KEV 期限 2026-08-21）

情報取得日: 2026/08/18／最終確認: 2026/08/15・本ページは公開情報の非公式まとめです

CVE ID	CVE-2026-59310
製品	Broadcom (VMware) / vCenter Server 8.0 未満 / 8.0 系 / 9.0（9.0.2.0100 未満）/ 9.1（9.1.0.0300 未満）、VMware Cloud Foundation、vSphere Foundation、Telco Cloud Platform 3.0〜5.2、Telco Cloud Infrastructure 3.0
CVSS	9.8（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
種別 (CWE)	CWE-22 パス名の不適切な制限（ディレクトリトラバーサル）
登録／公開日	2026/08/18
KEV 期限	2026/08/21 まで（米国連邦機関向け目安）
推奨対応	ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。クラウドサービスについては該当する BOD 26-04 のガイダンスに従い、緩和策が無い場合は当該製品の使用を停止すること。各資産のインターネット露出を評価し、BOD 26-04 のパッチ適用ガイドラインを順守する責任は利用者側にある。
出典	https://nvd.nist.gov/vuln/detail/CVE-2026-59310

概要

vCenter Server の Syslog サーバにディレクトリトラバーサルの欠陥があり、vCenter にネットワーク到達できる攻撃者が任意コードを実行できる。NVD の記述は「A malicious actor with network access to vCenter may exploit this issue to execute arbitrary code」で、認証の要求は書かれていない。CVSS は Broadcom（security@vmware.com）が CVSS 3.1 で 9.8 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）を付けており、NVD の Primary スコアは本稿執筆時点では付いていない（vulnStatus は Analyzed、lastModified は 2026-08-19）。すなわち PR:N＝権限不要、UI:N＝利用者の操作不要で、到達さえできれば成立するという評価である。CWE は CWE-22。影響範囲は vCenter 単体にとどまらず、NVD の CPE には VMware Cloud Foundation、vSphere Foundation、Telco Cloud Platform（3.0〜5.2）、Telco Cloud Infrastructure 3.0 が含まれる。vCenter は単体で導入されるより、これらのスイートに組み込まれて動いていることのほうが多い。修正版は 9.0 系が 9.0.2.0100、9.1 系が 9.1.0.0300 で、8.0 系については Broadcom のアドバイザリ（support.broadcom.com の 38017）を参照する。CISA KEV には 2026-08-18 に収載され、是正期限は 2026-08-21 と3日しかない。ランサムウェア利用は Unknown（不明）。NVD の参考文献には第三者による悪用状況の分析が2本含まれており、47か国・361の被害IPという規模、および関連する CVE-2026-59309 と併せた攻撃活動が報告されている。これは「悪用され得る」ではなく「現に広域で悪用されている」段階を意味する。

クラウド／OS 別の対応状況

各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。

AWS / GCP / Azure / Linux いずれも対応区分は同じです: 対象外参照先も共通です（一次情報）。下の表は環境ごとの補足です。

環境	対応状況	対応方法・備考
AWS (ECS/EC2)	対象外	対象外（AWS のマネージドサービスに修正対象は無い） VMware Cloud on AWS を利用している場合、vCenter の更新はサービス側の管理となる。自社で EC2 上に vCenter を構築している場合は、そのアプライアンスを修正版へ更新する。参照リンク
GCP	対象外	対象外（GCP のマネージドサービスに修正対象は無い） Google Cloud VMware Engine を利用している場合、vCenter の更新はサービス側の管理となる。自前で構築した vCenter は個別に更新する。参照リンク
Azure	対象外	対象外（Azure のマネージドサービスに修正対象は無い） Azure VMware Solution を利用している場合、vCenter の更新はサービス側の管理となる。自前で構築した vCenter は個別に更新する。参照リンク
Linux	対象外	対象外（vCenter Server Appliance は Broadcom が提供する専用アプライアンスで、ディストリのセキュリティ更新では上がらない）アプライアンス内部が Photon OS であっても、修正は Broadcom が配布する vCenter の更新パッケージで適用する。個別に OS パッケージを差し替える運用はサポート外になる。参照リンク

解決の方向性（パッチ／回避策／代替）

最初に確認するのは vCenter の管理画面が社外から見えるかどうかではなく、**社内のどこからなら vCenter に到達できるか**である。この欠陥は認証を要さないので、境界の内側にいる誰か（あるいは既に侵入した何か）が vCenter の待ち受けに触れれば成立する。vCenter は仮想基盤全体の管理点であり、ここを取られると個々のゲストOSのハードニングは意味を失う。したがって管理系VLANの到達範囲を洗い出し、日常の業務セグメントから vCenter に届く経路が残っていないかを見ること。次にバージョンを確定する。vCenter の版数は管理UIの「バージョン情報」またはアプライアンスシェルで確認でき、9.0 系なら 9.0.2.0100 以降、9.1 系なら 9.1.0.0300 以降であることを確かめる。8.0 系は Broadcom のアドバイザリ 38017 で該当ビルドを確認する。ここで見落としやすいのが、Cloud Foundation や vSphere Foundation、Telco Cloud Platform として導入している環境である。これらは vCenter を内包しているため、資産台帳に「vCenter」という名前で載っていないことがある。製品名で検索して対象外と判断すると外す。更新は原則としてスイート側の手順に従う（vCenter だけを個別に上げるとスイートのサポート構成から外れることがある）。KEV 期限が 2026-08-21 と短いため、当日中に更新を完了できない場合は、更新までの間に vCenter へ到達できるネットワーク範囲を管理端末だけに絞る緩和を先に入れる。緩和はあくまで到達性を減らすものであって欠陥は残る。すでに広域で悪用が観測されている以上、更新前の期間にインターネットまたは広い社内セグメントから到達可能だった vCenter は、侵害を前提に点検する。見るのは、vCenter アプライアンス上の想定外のプロセスとファイル（Syslog の欠陥なのでログ書き込み経路を悪用される）、vCenter に登録された SSO の管理者アカウントの追加・変更、そして vCenter が保持する ESXi ホストの資格情報が使われた痕跡である。完了条件は、（1）全 vCenter が修正版であること、（2）スイート内蔵ぶんも含めて棚卸しが済んでいること、（3）更新前に露出していた vCenter の点検と、vCenter に保存されていた資格情報の再発行が済んでいることの3点である。

よくある質問（CVE-2026-59310）

CVE-2026-59310（vCenter Server 8.0 未満 / 8.0 系 / 9.0）の影響は？

Critical（CVSS 9.8）に分類されるBroadcom (VMware) vCenter Server 8.0 未満 / 8.0 系 / 9.0（9.0.2.0100 未満）/ 9.1（9.1.0.0300 未満）、VMware Cloud Foundation、vSphere Foundation、Telco Cloud Platform 3.0〜5.2、Telco Cloud Infrastructure 3.0の脆弱性です。vCenter Server の Syslog サーバにディレクトリトラバーサルの欠陥があり、vCenter にネットワーク到達できる攻撃者が任意コードを実行できる。NVD の記述は「A malicious actor with network access to vCenter may exploit this issue to execute arbitrary code」で、認証の要求は書かれていない。CVSS は Broadcom（security@vmware.com）が CVSS 3.1 で 9.8 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）を付けており、NVD の Primary スコアは本稿執筆時点では付いていない（vulnStatus は Analyzed、lastModified は 2026-08-19）。すなわち PR:N＝権限不要、UI:N＝利用者の操作不要で、到達さえできれば成立するという評価である。CWE は CWE-22。影響範囲は vCenter 単体にとどまらず、NVD の CPE には VMware Cloud Foundation、vSphere Foundation、Telco Cloud Platform（3.0〜5.2）、Telco Cloud Infrastructure 3.0 が含まれる。vCenter は単体で導入されるより、これらのスイートに組み込まれて動いていることのほうが多い。修正版は 9.0 系が 9.0.2.0100、9.1 系が 9.1.0.0300 で、8.0 系については Broadcom のアドバイザリ（support.broadcom.com の 38017）を参照する。CISA KEV には 2026-08-18 に収載され、是正期限は 2026-08-21 と3日しかない。ランサムウェア利用は Unknown（不明）。NVD の参考文献には第三者による悪用状況の分析が2本含まれており、47か国・361の被害IPという規模、および関連する CVE-2026-59309 と併せた攻撃活動が報告されている。これは「悪用され得る」ではなく「現に広域で悪用されている」段階を意味する。

CVE-2026-59310 の対応方法・回避策は？

自分の環境が CVE-2026-59310 の影響を受けるか確認するには？

Broadcom (VMware) vCenter Server 8.0 未満 / 8.0 系 / 9.0（9.0.2.0100 未満）/ 9.1（9.1.0.0300 未満）、VMware Cloud Foundation、vSphere Foundation、Telco Cloud Platform 3.0〜5.2、Telco Cloud Infrastructure 3.0 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-59310）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

CVE-2026-59310 は実際に悪用されている？

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/08/21 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。クラウドサービスについては該当する BOD 26-04 のガイダンスに従い、緩和策が無い場合は当該製品の使用を停止すること。各資産のインターネット露出を評価し、BOD 26-04 のパッチ適用ガイドラインを順守する責任は利用者側にある。