注意喚起2026.10.28

VMware ESXの「操作が記録されない」脆弱性が悪用の一覧入り。7月公開の修正パッチの適用を

3分で読める
一次資料2件
セキュリティ図鑑編集部

2.7

CVE-2026-41709のCVSS

単独では低い

9.8

同じ公表のvCenterの脆弱性のCVSS

2件

10月28日

CISAがKEVに追加

悪用を確認

SUMMARY

要点をまとめると

01
米CISAは2026年10月28日、VMware ESXで管理者の一部の操作がログに残らない脆弱性（CVE-2026-41709）を、悪用を確認した一覧（KEV）に加えました。
02
ブロードコムが7月29日に公開したVMSA-2026-0006で修正済みです。
03
仮想化基盤にESXiを使う会社は、ホストが修正版以上か確かめ、同じ公表の深刻な脆弱性とあわせてパッチを当ててください。

TO DO

やること全4つと手順を見る →

この記事をスライドで理解する（6枚）

1 / 6

この記事の流れ

VMware ESXの「操作が記録されない」脆弱性が悪用の一覧入り。7月公開の修正パッチの適用を

CVSSが低いのに、なぜ注意が要るの？

管理者の操作がログに残らないので、侵入した攻撃者が痕跡を隠すのに使えます。CISAは実際に悪用されたとして一覧に加えました。

2.7CVE-2026-41709のCVSS

9.8同じ公表のvCenterの脆弱性のCVSS

10月28日CISAがKEVに追加

数字で見る

数字で見ると、こうなります

CVE-2026-41709のCVSS：2.7／同じ公表のvCenterの脆弱性のCVSS：9.8

7月29日VMSA-2026-0006ESX・vCenterなどの脆弱性5件を修正

8月パッチ情報を追加8.0 U2f向け、7.0向け

10月28日KEVに追加CVE-2026-41709の悪用を確認

POINT 1

発表されている事実

CVSSが低いのに、なぜ注意が要るの？

管理者の操作がログに残らないので、侵入した攻撃者が痕跡を隠すのに使えます。CISAは実際に悪用されたとして一覧に加えました。

本文で読む

要更新ESX 9.1系ESXi-9.1.0.0-25370933より前

要更新ESX 9.0系ESXi-9.0.2.0100-25595025より前

要更新ESX 8.0系ESXi80U3j-25429389より前

POINT 2

自社が対象か確かめる

うちのESXiは対象？

vSphere Clientの概要でビルド番号を見て、8.0系ならESXi80U3j-25429389より前なら対象です。

本文で読む

STEP 1パッチを当てる8.0なら8.0 U3kを目安。vCenterも

STEP 2管理者を見直す不要なアカウント停止、多要素認証

STEP 3管理画面を隠す管理用ネットワークからだけ

STEP 4ログを外へsyslogで別サーバーに送る

POINT 3

今すぐやること

何から手を付ければいい？

同じ公表の深刻な脆弱性もまとめて直すため、vCenterとホストにパッチを当て、管理者アカウントを見直してください。

本文で読む

パッチを当てる。

管理者アカウントを見直す。

管理画面を外に出さない。

まとめ

今すぐやること

くわしい手順と出典は、本文で確かめてください。

本文で読む

社内のサーバーをまとめて動かす仮想化の土台、VMware ESX（ESXi）の脆弱性が、実際の攻撃に使われていると米CISAが判断しました。管理者の権限を持つ攻撃者が、一部の操作をログに残さずに行えるという内容です。単独での深刻度は低いものの、侵入した攻撃者が痕跡を消すのに使えるため、早めの対応が必要です。

01発表されている事実

社長

CVSSが低いのに、なぜ注意が要るの？

管理者の操作がログに残らないので、侵入した攻撃者が痕跡を隠すのに使えます。CISAは実際に悪用されたとして一覧に加えました。

ハカセ

7月29日VMSA-2026-0006

ESX・vCenterなどの脆弱性5件を修正

8月パッチ情報を追加

8.0 U2f向け、7.0向け

10月28日KEVに追加

CVE-2026-41709の悪用を確認

7月29日
ブロードコム
VMSA-2026-0006を公開。ESX、vCenter、Workstation、Fusionの脆弱性5件を修正。CVE-2026-41709はCVSS 2.7（Low）
8月3日・19日
ブロードコム
8.0 U2f向けと7.0向けのパッチ情報を追加
10月28日
CISA
CVE-2026-41709をKEVに追加

同じ公表には、vCenterの認証回避（CVE-2026-59309）とディレクトリトラバーサル（CVE-2026-59310、8月に悪用の一覧入り。8月の記事）がともにCVSS 9.8、ESXのVMXNET3の境界外書き込み（CVE-2026-47876）がCVSS 9.3と、深刻なものも含まれています。ブロードコムはいずれも回避策を示していません。

02自社が対象か確かめる

社長

うちのESXiは対象？

vSphere Clientの概要でビルド番号を見て、8.0系ならESXi80U3j-25429389より前なら対象です。

ハカセ

要更新ESX 9.1系

ESXi-9.1.0.0-25370933より前

要更新ESX 9.0系

ESXi-9.0.2.0100-25595025より前

要更新ESX 8.0系

ESXi80U3j-25429389より前

CVE-2026-41709の修正版は次のとおりです。

ESX 9.1系：ESXi-9.1.0.0-25370933
ESX 9.0系：ESXi-9.0.2.0100-25595025
ESX 8.0系：ESXi80U3j-25429389
VMware Cloud Foundation 5.x：5.2.4

ホストの版とビルド番号は、vSphere Clientでホストを選んだ「概要」の画面に出ます。ESXiのシェルに入れる担当者は vmware -vl でも確かめられます。番号が上より小さければ対象です。7.0系はこのCVEの修正版が示されていません。延長サポートの契約があればブロードコムに問い合わせ、なければ8.0以降への移行を計画します。

03今すぐやること

社長

何から手を付ければいい？

同じ公表の深刻な脆弱性もまとめて直すため、vCenterとホストにパッチを当て、管理者アカウントを見直してください。

ハカセ

STEP 1パッチを当てる

8.0なら8.0 U3kを目安。vCenterも

STEP 2管理者を見直す

不要なアカウント停止、多要素認証

STEP 3管理画面を隠す

管理用ネットワークからだけ

STEP 4ログを外へ

syslogで別サーバーに送る

パッチを当てる。深刻な脆弱性もまとめて直すため、ESX 8.0なら8.0 U3k（ESXi80U3k-25595708）、vCenter 8.0なら8.0 U3k以降を目安にします。vCenterを先に上げ、次にホストを上げるのが一般的な順番です。保守を任せている場合は、販売店やSIerに予定を聞きます。
管理者アカウントを見直す。この脆弱性は管理者権限が前提です。使っていないアカウントを止め、パスワードの使い回しをやめ、vCenterに多要素認証を入れます。
管理画面を外に出さない。ESXiやvCenterの管理画面は、管理用のネットワークからだけ開けるようにします。
ログを外に送る。ホストのログをsyslogで別のサーバーへ送っておくと、ホスト側の記録が欠けても追いやすくなります。

04同じことを防ぐには

仮想化基盤は、ランサムウェアの攻撃者が全サーバーを一度に暗号化するために狙う場所です。管理用ネットワークの分離、管理者の多要素認証、ログの外部保管、バックアップの切り離しをそろえておくと、被害の広がりを抑えられます。ログの見張りは「監視・SOC・MDR」、侵入が疑われるときは「事故対応・フォレンジック」の会社に頼めます。