[悪用確認] CVE-2026-41709: Broadcom VMWare ESX Insufficient Logging Vulnerability
Broadcom VMware ESX Broadcom VMWare ESX contains an insufficient logging vulnerability that could allow a malicious actor with admin access to perform certain operations without being logged. 対応: Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines. (期限 2026-11-11)
CISA Known Exploited Vulnerabilitiesで読む
VulnPulse の解説
VMware ESX で一部の操作が記録に残らない欠陥、ゼロデイ悪用の報告を受け KEV 入り
ESX の管理者権限を持つ者が、一部の操作を記録させずに行える欠陥 CVE-2026-41709 を、CISA が 2026-10-28 に悪用確認済みとして KEV に加えた。修正は 7 月の VMSA-2026-0006 で出ている。
影響を受ける人
VMware ESX (ESXi) を自社で動かしている組織。Broadcom の告知で修正版が示されているのは次のとおり: ESX 8.0 は ESXi80U3j-25429389、ESX 9.0.x は ESXi-9.0.2.0100-25595025、ESX 9.1.x は ESXi-9.1.0.0-25370933、VMware Cloud Foundation 5.x は 5.2.4、Telco Cloud Platform 5.0.x・5.1.x は KB449886。この CVE の表に vCenter・Workstation・Fusion は載っていない。ESX 7.0 はこの CVE の表に無く、告知の 7.0 向けの案内は Critical の欠陥だけが対象。クラウドの仮想マシンを借りているだけの利用者は、自分で ESX を管理していなければ直接の対応は無い。
ひとことで言うと
建物の管理室には、誰がどの扉を開けたかを書き残す記録簿がある。今回の欠陥は、合鍵を持つ人なら一部の作業を記録簿に載せずにできてしまうというもの。合鍵が無ければ使えないが、合鍵を盗まれた後だと、何をされたかを後から追えなくなる。
仕組み
分類は「記録の不足」(CWE-778)。Broadcom の説明では、悪意のある管理者が特定の操作をログに載せずに実行できる。どの操作が対象か、どう記録を逃れるかは公表されていない。Broadcom の評価は Low、CVSS 2.7 で、前提は管理者権限 (PR:H)。機密性と可用性への影響は無く、完全性への影響が低いという評価になっている。この欠陥だけでは ESX に入り込めず、意味を持つのはすでに管理者権限を取られた後で、操作の跡を残さないために使われる点にある。ESX の上では多数の仮想マシンが動くため、ここでの操作が記録から抜けると、侵害の範囲を見誤りやすい。CrowdStrike の 2026-10-28 のブログによると、同社が中国系と位置づける WARP PANDA が、米国の組織 (法律分野を含む) の vCenter 環境にマルウェアを置いた複数の事案で、2026 年初めまでこの欠陥をゼロデイとして使っていた。Broadcom の告知は、CrowdStrike の Ian Barton を報告者として挙げている。回避策は無く、更新だけが対策になる。同じ VMSA には vCenter の認証回避 CVE-2026-59309 (CVSS 9.8) なども入っている。
攻撃の流れ
- 攻撃者が、この欠陥とは別の方法で vCenter や ESX の管理者権限を得る (CrowdStrike は最初の侵入方法を明らかにしていない)
- ESX の上で管理者として作業する
- この欠陥により、その作業の一部がログに残らない
- 後から調べても記録が欠けているため、何が行われたか分かりにくくなる
やること
- ESX の管理者: VMSA-2026-0006 の表にある修正版 (8.0 は U3j 以降、9.0 は 9.0.2.0100 以降、9.1 は 9.1.0.0 以降、VCF 5.x は 5.2.4) へ上げる。回避策は無い
- ESX と vCenter の管理者: 同じ VMSA の vCenter の欠陥 (CVE-2026-59309 など) も未適用なら一緒に入れる
- ESX 7.0 を使っている組織: この CVE の修正版は示されていないので、Broadcom への確認と、サポートのある版への移行を進める
- セキュリティ担当: ESX 上の記録だけを頼りにせず、vCenter のイベント、ホストの外に送ったログ、ネットワークの記録と突き合わせて、管理者アカウントの不審な動きを見直す
- セキュリティ担当: ESX と vCenter の管理者アカウントを棚卸しし、管理画面をインターネットや一般の社内ネットワークから切り離す
- 米国の連邦機関: CISA の期限は 2026-11-11
まだ分かっていないこと
- どの操作が記録から抜けるのか (Broadcom も CrowdStrike も明かしていない)
- WARP PANDA が最初に管理者権限をどう得たか
- CISA が KEV に載せた根拠が CrowdStrike の報告と同じ事案かどうか
- ESX 7.0 や 8.0 U2 系がこの欠陥の影響を受けるか (この CVE の表に載っていない)
- ランサムウェアでの利用は KEV で「不明」
出典
- VulnPulse の元記事 (CISA KEV)
- Broadcom VMSA-2026-0006
- CISA Known Exploited Vulnerabilities: CVE-2026-41709
- NVD: CVE-2026-41709
- CrowdStrike: 2026 Legal Threat Landscape Report (2026-10-28)
元記事と公開情報をもとに、VulnPulse が独自の言葉でまとめた解説です。正確な情報は出典をご確認ください。 更新:
| CVE | CVE-2026-41709 |
|---|---|
| 情報源 | CISA Known Exploited Vulnerabilities |
| 取得日時 | 2026/10/29 04:58 |
| データ | Markdown JSON |
2026/10/29 04:58、CISA Known Exploited Vulnerabilitiesが「[悪用確認] CVE-2026-41709: Broadcom VMWare ESX Insufficient Logging Vulnerability」を公開しました (種別: 脆弱性アドバイザリ)。重大度は「緊急」(critical) です。関連する技術: VMware。CVE: CVE-2026-41709。