最近の脆弱性 › CVE-2026-22719
Broadcom VMware Aria Operations のコマンドインジェクションの脆弱性（CVE-2026-22719）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2026-22719 |
|---|---|
| 製品 | Broadcom VMware Aria Operations |
| 深刻度（CVSS） | 8.1 重要CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2026-03-03 |
| 米国政府機関の対応期限 | 2026-03-24 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-77 |
何が起きた
システムの状態を監視する Broadcom の VMware Aria Operations（以前の名前は vRealize Operations）に、外から渡した文字が命令として実行されてしまう弱点（コマンドインジェクション）が見つかり、実際に悪用が確認されています。サポートが手伝う製品の移行作業（support-assisted product migration）の最中に、ログインしていない攻撃者が任意の（攻撃者が好きに選べる）命令を実行できるおそれがあります。ネットワーク経由で悪用できる条件です。なお Broadcom は、悪用の報告があることは把握しているものの、自社では確認できていないと説明しています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
VMware Aria Operations の 8.18.6 より前の 8.x を使っている組織が影響を受けます。VMware Cloud Foundation Operations の 9.x、VMware Cloud Foundation、VMware Telco Cloud Platform、VMware Telco Cloud Infrastructure の中で Aria Operations を使っている場合も対象です。
何をすればいい
Broadcom の公式の案内（VMSA-2026-0001）を確認し、Aria Operations は 8.18.6 に、VMware Cloud Foundation Operations は 9.0.2.0 に更新してください。VMware Telco Cloud Platform と VMware Telco Cloud Infrastructure では、勧告の表で KB428241 が示されています。すぐに更新できない場合は、KB430349 にある回避策のスクリプトを、すべての Aria Operations のノード（サーバー）で実行する方法が示されています。この回避策は同じ勧告の CVE-2026-22720 と CVE-2026-22721 には効かないため、最終的には更新が必要です。
やることチェックリスト
- Aria Operationsを8.18.6に更新する
- VCF Operationsを9.0.2.0に更新する
- 更新前はKB430349の回避策を全ノードで実行する
用語メモ
- コマンドインジェクション
- 入力した文字に命令を紛れ込ませて、サーバーにその命令を実行させてしまう弱点です。
- 回避策
- 修正版に更新するまでの間、設定変更などで攻撃を受けにくくする一時的な対策です。
元データ（英語・CISA KEV より）
Broadcom VMware Aria Operations Command Injection Vulnerability
概要
Broadcom VMware Aria Operations formerly known as vRealize Operations (vROps) contains a command injection vulnerability that allows an unauthenticated attacker to execute arbitrary commands, potentially leading to remote code execution during support‑assisted product migration.
推奨対応
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.