仮想化ソフト大手VMwareの中核製品「vCenter Server（ブイセンター・サーバー）」に、認証を回避されて管理権限を丸ごと奪われる重大な脆弱性が見つかりました。開発元のブロードコムは緊急のセキュリティ更新を公開し、企業に速やかな適用を強く求めています。
2件の重大脆弱性
問題の脆弱性は「CVE-2026-59309」と「CVE-2026-59310」の2件で、深刻度を示すCVSS（共通脆弱性評価システム）スコアはいずれも10点満点中9.8と最高水準に位置づけられています。ブロードコムは7月29日にセキュリティ勧告「VMSA-2026-0006」を公開し、複数のVMware製品の欠陥への対応を明らかにしました。
認証なしで管理基盤を掌握
とりわけ深刻なのがCVE-2026-59309です。vCenter Serverが使う「VMwareディレクトリサービス」に存在する認証回避の欠陥で、vCenterにネットワーク経由で到達できる攻撃者が、事前の認証なしに認証を完全にすり抜けられます。悪用されれば「管理プレーン（管理基盤）」を掌握され、仮想マシンやデータ、接続された業務システムまで丸ごと制御される恐れがあります。vCenterは多くの企業のサーバー基盤を束ねる中枢であり、被害が全社の仮想環境に及びかねない点で危険度が高いといえます。
回避策なし、更新が唯一の防御
現時点で、実際の攻撃や不審なスキャンは確認されておらず、攻撃用のコードも公開されていないとされます。しかし、この2件には回避策（ワークアラウンド）が存在せず、修正版への更新が唯一の防御手段です。対策はvCenterのバージョン9.1.0.0300、9.0.2.0100、および8.0 Update 3kで提供されており、企業には一刻も早い適用が求められます。
日本への影響
VMwareの仮想化基盤は、日本でも金融機関や製造業、官公庁を含む幅広い組織が基幹システムに採用しています。vCenterはその中枢を担うため、更新を怠れば攻撃者に社内システム全体を掌握される危険があり、業務停止や情報漏えいにつながりかねません。国内でも情報処理推進機構（IPA）やJPCERTコーディネーションセンターが、この種の重大脆弱性について注意喚起を出すのが通例です。
日本企業にとっての教訓は、攻撃が確認されていない段階でも「最高水準の深刻度」で回避策がない脆弱性は、公開情報をもとに攻撃コードが素早く作られる恐れがあるという点です。システム管理者は自組織が使うvCenterのバージョンを速やかに確認し、修正版の適用計画を前倒しで進める対応が求められます。個人利用者に直接の影響は小さいものの、利用するオンラインサービスの裏側でこうした基盤が動いていることを意識しておく価値はあります。
まとめ：回避策のない最高水準の脆弱性は、攻撃が始まる前の対処が肝心です。VMware環境を使う組織は、修正版の適用を最優先で進めましょう。
出典:
BleepingComputer – VMware fixes three critical flaws allowing auth bypass, VM escapes
Rapid7 – Critical VMware vCenter Vulnerabilities (CVE-2026-59309, CVE-2026-59310)
SecurityOnline – Broadcom Patches CVE-2026-59309 & CVE-2026-59310 (CVSS 9.8)
