• ひとことでVMware ESX で、管理者の操作の一部が記録に残らない弱点です。
  • 深刻度2.7 注意CVSS v3.1
  • まずやること使っている ESX の版を確かめる

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2026-41709
製品Broadcom VMware ESX
深刻度（CVSS）2.7 注意CVSS v3.1
NVD に登録された、他の機関（開発元など）による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N
KEVへの追加日2026-10-28
米国政府機関の対応期限2026-11-11
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-778

何が起きた

仮想マシンを動かすための基盤ソフト VMware ESX に、操作の記録（ログ）を十分に残さない弱点が見つかり、アメリカの CISA が実際に悪用されていることを確認しています。Broadcom によると、悪意のある管理者が、ある種の操作を、記録に残さずに行えるおそれがあります。悪用には管理者の権限が必要で、Broadcom の評価では深刻度は Low（低い）とされています。どの操作が記録に残らないのかは、Broadcom の勧告には書かれていません。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 管理者の権限を持つ攻撃者が ESX を操作する → 2. ある種の操作が記録に残らずに行われる → 3. その操作を後からログで確かめられない1管理者の権限を持つ攻撃者が ESX を操作する2ある種の操作が記録に残らずに行われる3その操作を後からログで確かめられない攻撃の流れ: 1. 管理者の権限を持つ攻撃者が ESX を操作する → 2. ある種の操作が記録に残らずに行われる → 3. その操作を後からログで確かめられない1管理者の権限を持つ攻撃者が ESX を操作する2ある種の操作が記録に残らずに行われる3その操作を後からログで確かめられない攻撃の流れ: 1. 管理者の権限を持つ攻撃者が ESX を操作する → 2. ある種の操作が記録に残らずに行われる → 3. その操作を後からログで確かめられない1管理者の権限を持つ攻撃者が ESX を操作する2ある種の操作が記録に残らずに行われる3その操作を後からログで確かめられない

誰が影響を受ける

VMware ESX と、それを含む VMware Cloud Foundation、VMware vSphere Foundation、VMware Telco Cloud Platform を使っている組織が対象です。Broadcom によると、影響を受けるのは ESX の 9.1.x.x、9.0.x.x、8.0 と、VMware Cloud Foundation の 5.x、VMware Telco Cloud Platform の 5.0.x と 5.1.x です。

何をすればいい

Broadcom のセキュリティ情報（VMSA-2026-0006）の公式の案内を確認し、修正版に更新されているか確認してください。修正版は、ESX 9.1.x.x では ESXi-9.1.0.0-25370933、9.0.x.x では ESXi-9.0.2.0100-25595025、8.0 では ESXi80U3j-25429389、VMware Cloud Foundation 5.x では 5.2.4 です。VMware Telco Cloud Platform は、Broadcom の案内（KB449886）に従ってください。Broadcom は回避策はないとしています。

やることチェックリスト

  • 使っている ESX の版を確かめる
  • VMSA-2026-0006 の修正版に更新する
  • Cloud Foundation 5.x は 5.2.4 に更新する

用語メモ

ログ
機器やソフトウェアが、いつ・だれが・何をしたかを書き残した記録です。問題が起きたときに、原因や攻撃の跡を調べるのに使います。
仮想マシン 用語集で見る
1台のコンピューターの中に、ソフトウェアで作った別のコンピューターのことです。1台の機器で、たくさんのサーバーを動かせます。
回避策 用語集で見る
修正版に更新できないときに、一時的に被害を防ぐための設定や手順のことです。

次に読む

同じ製品・メーカーの脆弱性Broadcom VMware vCenter（CVE-2026-59310）9.8 緊急CVSS v3.1VMware vCenterのSyslogサーバーで、ファイルの場所の確認不足から、遠隔でコードを実行される弱点です。同じ製品・メーカーの脆弱性Broadcom VMware Aria Operations（CVE-2026-22719）8.1 重要CVSS v3.1VMware Aria Operationsで、外から任意の命令を実行されるおそれがある弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Broadcom VMWare ESX Insufficient Logging Vulnerability

概要

Broadcom VMWare ESX contains an insufficient logging vulnerability that could allow a malicious actor with admin access to perform certain operations without being logged.

推奨対応

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

この元データの出どころ: CISA KEV カタログで見る