仮想化ソフト大手VMware（現ブロードコム傘下）の管理ソフト「vCenter」に見つかった深刻な欠陥（CVE-2026-59310）が、世界規模で悪用されていることが明らかになりました。危険度は最高評価の「10点満点で9.8」で、攻撃者は認証なしでサーバーを遠隔操作できます。調査では47カ国で361件の被害が確認され、企業に緊急の対応が求められています。
認証なしでサーバーを乗っ取れる
vCenterは、企業のサーバー群をまとめて管理する「司令塔」にあたるソフトです。今回の欠陥は、記録（ログ）を扱う部品に潜む「ディレクトリー・トラバーサル」と呼ばれる種類の不具合で、本来アクセスできないファイルへ入り込めてしまいます。ネットワーク越しに接続できる攻撃者は、認証を経ずにサーバー上で任意のプログラムを最高権限で実行できます。
すでに47カ国で実際の攻撃
すでに実際の攻撃が始まっています。高度な攻撃集団（APT）がこの欠陥を突いて企業ネットワークに侵入し、「リバースSSH」と呼ばれる手口で気づかれにくい裏口（バックドア）を設けているとされます。セキュリティ企業QUIRSOは、47カ国で361件の被害IPアドレスを特定したと報告しました。
回避策はなく、修正の適用が急務
深刻なのは、暫定的な回避策が存在しない点です。ブロードコムは7月29日に修正情報を公開しましたが、根本的な対策は修正プログラム（パッチ）の適用しかありません。公開からわずか5日後の8月3日には最初の侵害が観測されており、企業が対応する猶予は極めて短い状況です。
vCenterは金融・製造・官公庁など、社会の基盤を支える組織で広く使われています。侵入を許せば、社内システム全体を乗っ取られる恐れがあり、企業は自社のvCenterが外部から接続可能な状態になっていないかを直ちに点検し、最新の修正を適用する必要があります。
日本への影響
この欠陥は、日本企業にとっても差し迫った脅威です。VMware製品は日本の大企業や自治体、データセンター事業者に深く浸透しており、多くの基幹システムがvCenterで運用されています。47カ国に被害が及んでいる以上、日本国内の組織が標的に含まれている可能性は十分にあり、経済産業省所管のIPA（情報処理推進機構）やJPCERTコーディネーションセンターも、この種の欠陥について繰り返し注意を呼びかけています。
とりわけ懸念されるのは、ブロードコムによる買収後にVMwareのライセンス体系が変わり、保守契約を見直した企業のなかに、修正情報の受け取りや適用が滞るケースが生じている点です。回避策がない以上、対応が遅れれば侵入から情報流出、事業停止へと被害が連鎖しかねません。日本の読者、とりわけ社内システムの管理に携わる方にとっては、自社がVMware製品を使っているかを確認し、外部公開の有無を点検したうえで、速やかにパッチを適用することが求められます。
まとめ：司令塔が乗っ取られれば、被害は組織全体に広がります。心当たりのある方は、今すぐ自社システムの点検を始めましょう。
出典：
Rapid7 – Critical VMware vCenter Vulnerabilities (CVE-2026-59309, CVE-2026-59310)
The Hacker News – Attackers Exploit VMware vCenter Vulnerability
SC Media – Critical VMware vCenter flaw actively exploited in 47 countries
Photo: Kelvin Ang / Unsplash
