CVE-2026-41709 VMware ESX脆弱性——CISA警告と今やること

公開日：2026年10月30日文：クリスタルメソッド編集部監修：河合継（代表取締役）

VMware ESXの「ログに残らない」脆弱性CVE-2026-41709が悪用中——評価は低でもCISAが警告、運用担当者が今やること

CVE-2026-41709とは——VMware ESXの「ログに残らない操作」という欠陥

2026年10月28日、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、Broadcom VMware ESXに存在する脆弱性CVE-2026-41709を「悪用済み既知脆弱性カタログ（Known Exploited Vulnerabilities Catalog、以下KEV）」に追加した。CISAによる追加は「悪用の証拠に基づく」ものであり、理論的なリスクではなく現実の攻撃が確認されたことを意味する（出典: CISA アラート 2026-10-28）。

脆弱性の分類はCWE-778（Insufficient Logging）、すなわち「不十分なログ記録」である。CVE公式記録（CNA: Broadcom/VMware）の説明は次のとおりだ。

「VMware ESX contains an insufficient logging vulnerability. A malicious administrator could exploit this issue to perform certain operations without them being logged.」

（悪意のある管理者が、ある種の操作をログに残さずに実行できる）

「ある種の操作」が具体的に何を指すかは、Broadcomの告知（VMSA-2026-0006）においても公式記録においても明記されていない。どのログが対象となるかも同様に不明確だ。したがって「ログが取れなくなる」「ログが消される」と断定することは一次情報の範囲を超える。正確には「特定の操作がログに記録されない状態が生じうる」という欠陥である。

CVSS 3.1スコアは2.7（Low）で、ベクタはCVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N。PR:H（高特権が必要）という前提があるため、攻撃者がすでに管理者権限を持っている状態でなければ本脆弱性を単体では悪用できない。スコアが2.7に留まるのはこの前提を反映したものであり、「低評価だから優先度が低い」を意味しない。

図1：CVE-2026-41709の悪用構造。管理者権限を前提とした脆弱性だが、ログが残らないことでインシデント後の調査・被害特定が難しくなりうる点が、この種の欠陥の実務上の問題である。

CVSS 2.7「低」でもCVE-2026-41709のKEV掲載が重大な理由——ログ不備固有のリスク

CVSSスコアは脆弱性の技術的特性（攻撃の難易度・影響範囲）を測る指標であり、実際に攻撃が行われているかどうかを示す指標ではない。CVE-2026-41709の場合、スコアが低いのは「管理者権限がすでに必要」という制約を反映した結果であって、攻撃の危険性がないことを意味しない。

CISAのKEV掲載は「悪用の証拠あり」という事実を示す。CrowdStrikeの報告によれば、中国系の攻撃者グループWARP PANDAが米国の法律分野を含む組織のVMware vCenter環境にマルウェアを配置した複数の事例において、CVE-2026-41709をゼロデイとして悪用した（出典: CrowdStrike 2026 Legal Threat Landscape Report）。

ログ不備という欠陥が持つ問題は、侵害を「防ぐ」という文脈ではなく「発見・調査する」という文脈で現れる。通常の侵害では、管理者が事後にログを精査することで操作の痕跡をたどり、被害範囲を特定し、再発防止策を設計する。この欠陥が存在する環境ではその前提が崩れる。攻撃者がどの操作をどの時点で行ったかを追跡できない可能性がある。

加えて、同じBroadcom告知VMSA-2026-0006にはCVSS 9.8のvCenter脆弱性（CVE-2026-59309、CVE-2026-59310）やCVSS 9.3のESX脆弱性（CVE-2026-47876）も含まれている。これらとCVE-2026-41709が組み合わせて悪用されたという一次情報は確認されていないが、同じ告知に含まれる以上、パッチの適用は全件まとめて対処するのが合理的な判断となる。

JPCERT/CC・IPA・JVNでは本稿執筆時点（2026年10月30日）でCVE-2026-41709に関する個別の注意喚起は確認できなかった。しかし、CISAのKEV掲載の意味——実際に悪用が確認されたという事実——を踏まえれば、ESX/ESXiを運用している組織は、国内外を問わず同じ優先度で対処を検討したい。

次に読む：内部不正対策とは？基本5原則と進め方は？

内部不正対策とは？基本5原則と、退職者の情報持ち出しを防ぐ進め方【2026年】

影響バージョンと修正済みビルドの対応表——CVE-2026-41709への対処

Broadcomの告知（VMSA-2026-0006）に基づく対応表を下記に示す。自社環境のビルド番号が「修正済みビルド」の欄に示すビルド（またはそれ以降）に達していない場合は対象となる。

製品・バージョン系列	修正済みビルド（Broadcom対応表）	備考
ESX 9.1.x.x（VCF/vSphere Foundation 9.1）	ESXi-9.1.0.0-25370933	—
ESX 9.0.x.x（VCF/vSphere Foundation 9.0）	ESXi-9.0.2.0100-25595025	—
ESX 8.0	ESXi80U3j-25429389	—
VMware Cloud Foundation 5.x	5.2.4	KB88287の手順に従う
Telco Cloud Platform 5.0.x / 5.1.x	—	KB449886の手順に従う
ESX 7.0	本CVEの対応表に行なし	同告知の他CVEでは「延長サポート契約があればBroadcomサポートへ」とある。最新の告知で個別確認すること

自社が対象か判断がつかない場合は、お使いの製品と版の情報をお送りいただければ、公式情報をもとに対象かどうかの目安をお伝えします（無料相談）。

公式の回避策（Workarounds）は「なし」とされている。パッチ適用以外の手段で本脆弱性を緩和する公式の方法は存在しない。以下で述べるCrowdStrike推奨の強化策はあくまで一般的な防御措置であり、本CVEのパッチ適用の代替にはならない。

なお、今回の修正は2026年7月29日にBroadcomが公開したものであり（VMSA-2026-0006初版）、CISAのKEV追加は2026年10月28日である。修正の公開とCISAの追加は別の日付であることに注意する。7月以降にパッチを適用済みの環境であれば、ビルド番号の照合で対処済みかどうかを確認できる。

運用担当者が今取るべき具体的な手順

以下は、VMware ESX/ESXiを運用する担当者が優先して確認すべき事項を整理したものだ。連邦機関向けの対処期限は2026年11月11日（BOD 26-04）だが、CISAは全組織に対して同カタログの脆弱性を優先的に対処するよう勧告している（出典: CISA KEVカタログ）。

手順1：バージョンとビルドの確認
ESXiホストにアクセスできる環境ではesxcli system version getを実行してビルド番号を確認する。vSphere Clientからも確認できる。得られたビルド番号を上記対応表と照合する。

手順2：未対応の場合はパッチを適用する
修正済みビルドに達していない環境は速やかにパッチを適用する。VCF 5.x環境ではKB88287の非同期パッチ手順に従う。Telco Cloud Platformの場合はKB449886を参照する。ESX 7.0を使用している場合は本CVEの対応表に行がないため、Broadcomサポートへ延長サポートの状況を確認した上で最新の告知を参照すること。

手順3：ログ転送の設定を確認する
本脆弱性の性質上、パッチを適用した後でも過去に操作が記録されなかった可能性を念頭に置く必要がある。まず、ESXiのsyslogが外部プラットフォームへ転送されているかを確認する。esxcli system syslog config getを実行し、外部サーバへの転送が設定されているかを見る（出典: CrowdStrikeブログ）。ESX単体のログだけでは操作が漏れうるため、外部に残る記録（転送先、ネットワーク機器、vCenter側のログ）も合わせて確認する考え方が有効だ。

手順4：侵害の痕跡を点検する
CrowdStrikeはWARP PANDAの手口として、ログの消去、ファイルのタイムスタンプ改ざん、vCenterに登録されない不正VMの作成と停止、vpxuserアカウントの悪用、SSHによる横移動を挙げている（出典: CrowdStrike WARP PANDAブログ）。これらを踏まえ、rootおよびvpxuserのSSHログイン履歴、vCenterインベントリに登録されていないVMの有無を確認することをCrowdStrikeは推奨している。ただし、CISAおよびBroadcomはいずれも具体的な侵害指標（IoC）を公表していない。

手順5：一般的な強化策（公式回避策ではない）
CrowdStrikeが推奨する一般的な防御強化として、ESXiへのSSHを無効にすること、日常管理に最小権限のローカルアカウントを使用すること、execInstalledOnlyを有効にすること、管理インターフェースをネットワーク分離すること、ESXiとvCenterからの外向き通信を制限することが挙げられる。繰り返しになるが、これらは本CVEの公式回避策ではなく、パッチ適用の代替にならない。

ログ不備の欠陥は、パッチを当てただけでは過去の記録の欠落を埋められない。侵害が起きた場合に調べられる記録を残すためにも、パッチ適用と外部ログ転送の整備をあわせて進めることを勧める。