セキュリティ · 2026年11月1日
他の言語でも公開 한국어
米政府機関、中国系ハッカーが利用したVMware ESXの脆弱性を既知の悪用リストに追加
米国のサイバーセキュリティおよびインフラセキュリティ局は水曜日、ブロードコム社のVMware ESXに影響する脆弱性を既知の悪用脆弱性カタログに追加した。この措置は、クラウドストライク社が中国に拠点を持つ脅威アクター「Warp Panda」が、米国の法務セクターを標的とした攻撃で同脆弱性を悪用したと明らかにしたことに伴うものである。
対象となる脆弱性はCVE-2026-41709であり、CVSSスコアは2.7と評価されている。これはログ記録が不十分なケースに該当し、管理者アクセスを有する悪意あるアクターが、ログに記録されずに特定の操作を実行することを可能にする。ブロードコム社は2026年7月に公開したアドバイザリーにおいて、この問題が特定のバージョンで修正されたことを明らかにした。
クラウドストライク社の2026年法務脅威状況報告書によると、Warp Pandaは2026年初頭にこの脆弱性をゼロデイとして悪用し、監査証跡の可視性を低下させることを目的としていた。同報告書は、このアクターがゼロデイ脆弱性とカスタムマルウェアを用いてインターネットに公開されたエッジデバイスを悪用し、隠密かつ永続的なアクセスを維持していると指摘している。また、検知を回避するために監査ログをバイパスし、クラウドセッショントークンを収集し、不正な多要素認証デバイスを登録していることも述べられている。
Warp Pandaは、Citrix NetScalerやIvanti Connect Secureデバイスのゼロデイ脆弱性を悪用した前科を持つ。今月初め、Google傘下のMandiant社は、BeyondTrust Remote Supportの深刻な欠陥（CVE-2026-102764、CVSSスコア9.3）のゼロデイ悪用もこのグループに帰属させ、SAWFLYやBARECLAWといったマルウェアファミリーの配布に関与したと特定した。
攻撃の手口としては、インターネットに公開されたエッジデバイスを悪用して初期アクセスを獲得した後、VMware vCenter環境にシフトし、BRICKSTORMやSharpStormといったカスタムマルウェアをデプロイして永続的なアクセスを維持する。一部の侵入では、ユーザーセッショントークンを抽出してMicrosoft 365環境にアクセスし、認証情報ベースのアラートを引き起こさないようにする。少なくとも1つのケースでは、パスワードが変更されても永続的なアクセスを確保するため、侵害されたアカウントに新しい多要素認証デバイスを登録したとされる。
クラウドストライク社は、Warp Pandaが米国の法務セクターを含む複数のセクターの米国エンティティに対する、持続的かつ戦略的に焦点を当てた中国拠点のサイバー諜報脅威であると述べた。法務セクターは、クライアントとの通信、合併・買収資料、進行中の訴訟戦略、およびクライアント間のアクセスが集中しているため、下流の運用効用を有する情報を探求する国家主導の敵対者にとって高価値な収集対象となる。CVE-2026-41709の積極的な悪用を踏まえ、連邦民間行政機関には2026年11月11日までに修正を適用することが推奨されている。