Broadcom (VMware) の脆弱性と対応
Broadcom (VMware) 製品の重大・クリティカル脆弱性 4件を、CVSS 順に並べています。各 CVE の詳細ページに、AWS・GCP・Azure・Linux 別の対応と一次情報の出典があります。
Broadcom (VMware) の掲載状況(数値は本ページのビルド時にデータから集計)
掲載 4件の内訳は Critical 2件 / High 2件。CVSS は最高 9.8、最低 7.8です。
このうち 4件は CISA KEV に収載され、実際の悪用が確認されています。先に着手すべきはこの 4件です。
掲載している Broadcom (VMware) の CVE は 2025/10/30 〜 2026/08/18 に公開または KEV 収載されたものです。
対応が必要な環境の内訳は、Linux(OS 側の修正)が 3件です。掲載262件のうち、AWS・GCP・Azure で必要な対応が分かれるものはありません(対応内容はいずれもベンダー提供の更新の適用です)。環境の違いが出るのは主に Linux(OS 側の修正の有無)です。
対象になっている製品
- VMware Aria Operations / Cloud Foundation1件
- VMware Tools / open-vm-tools / Aria Operations1件
- VMware vCenter Server / Cloud Foundation1件
- vCenter Server 8.0 未満 / 8.0 系 / 9.0(9.0.2.0100 未満)/ 9.1(9.1.0.0300 未満)、VMware Cloud Foundation、vSphere Foundation、Telco Cloud Platform 3.0〜5.2、Telco Cloud Infrastructure 3.01件
必要な対応の内訳
区分は AWS・GCP・Azure 側の対応状況にもとづきます。各 CVE の修正バージョン・回避策は詳細ページに一次情報の出典付きで書いています。
CVSS の数字の内訳を確かめる: Broadcom (VMware) のアドバイザリに載っているスコアだけでは「ネットワーク越しか」「認証が要るか」までは分かりません。アドバイザリに載っているベクタ文字列(例
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)を CVSSベクタ読み解きツール に貼ると、各項目の意味と基本値の計算過程を日本語で確認できます。Broadcom (VMware) の脆弱性と対応4件
-
Critical CVSS 9.8 NEW KEV 悪用確認VMware vCenter Syslog サーバのディレクトリトラバーサル(未認証でリモートコード実行・実際に悪用・KEV 期限 2026-08-21)AWSGCPAzureLinux
-
Critical CVSS 9.8 KEV 悪用確認VMware vCenter Server の DCERPC ヒープオーバーフローで RCE(悪用確認済み)AWSGCPAzureLinux
-
High CVSS 8.1 KEV 悪用確認VMware Aria Operations の未認証コマンドインジェクション(移行作業中に成立)AWSGCPAzureLinux
-
High CVSS 7.8 KEV 悪用確認VMware Tools / Aria Operations のローカル権限昇格で root 奪取(悪用確認済み)AWSGCPAzureLinux