目次（6）
CVE-2026-41709
CISA は 2026-10-28、VMware ESX の欠陥 CVE-2026-41709 を悪用が確認された脆弱性（KEV）に追加しました。管理者権限を持つ者が、特定の操作を ESX のログに残さずに実行できる「ログ不足」の欠陥です。Broadcom は 2026-07-29 の勧告 VMSA-2026-0006 で修正版を出しており、CISA の対応期限は 2026-11-11 です。
何が問題か
Broadcom と NVD の説明では、悪意のある管理者が、特定の操作を記録されないまま実行できます。外部から侵入できる欠陥ではなく、すでに管理者権限を得た相手が痕跡を消すために使う種類の欠陥です。CISA は KEV でこの欠陥の悪用を確認しています。Broadcom の勧告に回避策（ワークアラウンド）は載っておらず、対策は修正版への更新です。
数値で見る
| 項目 | 値 |
|---|---|
| CVE | CVE-2026-41709 |
| KEV 追加日 / 対応期限 | 2026-10-28 / 2026-11-11 |
| CVSS v3.1 | 2.7（Low。Broadcom が付けた値）。攻撃元はネットワーク、必要な権限は高 |
| EPSS | 0.0076（上位約 45%。FIRST の 2026-10-29 の値） |
| CWE | CWE-778（ログ記録が不十分） |
| ランサムウェアでの悪用 | 不明（KEV の記載） |
CVSS は深刻さの目安（10.0 が最大）で、EPSS は今後 30 日以内に悪用される確率の推定です。CVSS は低いものの、悪用の事実があるため KEV に入っています。点数だけで後回しにしないでください。
対象と修正版
Broadcom の勧告 VMSA-2026-0006（2026-08-19 更新の版）による、この欠陥の修正版です。
| 製品 | 修正版 |
|---|---|
| VCF / vSphere Foundation の ESX 9.1.x | ESXi-9.1.0.0-25370933 |
| VCF / vSphere Foundation の ESX 9.0.x | ESXi-9.0.2.0100-25595025 |
| ESX 8.0 | ESXi80U3j-25429389 |
| VMware Cloud Foundation 5.x（ESX） | 5.2.4 |
| Telco Cloud Platform 5.0.x・5.1.x の ESX | KB449886 |
同じ勧告には、別の欠陥（vCenter の認証回避 CVE-2026-59309・ディレクトリ・トラバーサル CVE-2026-59310、ESX の VMXNET3 の範囲外書き込み CVE-2026-47876 など、いずれも CVSS 9 台）も載っています。ESX を更新するときは、勧告の全体を見て、必要な修正版をまとめて適用してください。
誰が気をつけるか
ESX（ESXi）を運用している組織です。ネットワーク経由で管理者権限を得られた場合、その後の操作が記録に残らないおそれがあります。
今やること
- 使っている ESX の版を確認し、上の修正版以降へ更新する。
- 2026-11-11 までに対応する（CISA の対応期限。米連邦機関向けだが目安になる）。
- 管理者アカウントの棚卸しと、管理用ネットワークの接続元の制限を見直す。
- 更新前のログに不審な空白がないかを確認し、必要なら外部のログ収集基盤の記録と突き合わせる。
用語メモ
- KEV: CISA が、実際に悪用された脆弱性を集めた一覧。
- ESX（ESXi）: VMware の仮想化基盤の中核となるハイパーバイザー。
- EPSS: 悪用される可能性を 0〜1 で表す指標。
この記事について
- 執筆・編集
- World Security 編集部
出典
- Broadcom VMSA-2026-0006（Broadcom）
- NVD CVE-2026-41709（NIST NVD）
- CISA Known Exploited Vulnerabilities Catalog（JSON）（CISA）
- FIRST EPSS API（FIRST）
