CVE-2026-41709: Broadcom VMWare ESX不十分なログ記録脆弱性

CVEレコードは、この脆弱性を次のように説明しています：VMware ESXには不十分なログ記録の脆弱性が含まれています。悪意のある管理者がこの問題を悪用して、特定の操作をログに記録されないまま実行できる可能性があります。[2]HOL Guardは、Broadcomが2026-07-29にVMSA-2026-0006でこれを修正し、Low（CVSS 2.7）と評価し、CrowdStrikeのIan Bartonにクレジットを付与したと報告しています。[3]The Hacker Newsは当時、Broadcomがこれらの問題のいずれも悪用されたという証拠は見つかっていないと述べたと報告しました[4]。CrowdStrikeは2026年の法的脅威風景レポートで、これらのケースの多くで、2026年初頭までの攻撃者による悪用があったと述べています[1]。HOL Guardによると、WARP PANDAが法務部門を含む米国法人のvCenter環境にマルウェアを展開した後、これが発生しました[3]。HOL Guardは、CISAが同日付で2026-11-11の期限でKEVに追加したと報告しています。[3]cve-security.comサイトは、CISAがランサムウェアの使用を"不明"[2]とリストしていると報告しています。HOL Guardは、このバグがそれ自体ではアクセスを付与せず、その価値は攻撃者にとってハイパーバイザー上の侵害後の活動を隠すことにあると述べています[3]。また、BroadcomとCrowdStrikeは、ログに記録されない操作や、バイパスがどのように機能するかを開示していません。[3]The Hacker Newsは、修正がVMware Cloud FoundationおよびVMware vSphere FoundationバージョンESXi-9.1.0.0-25370933およびESXi-9.0.2.0100-25595025、ならびにVMware ESX ESXi80U3j-25429389で発表されたと報告しています[4]。セキュリティ企業Hard2bitは、このフローのため、防御者が"vCenter自体のログだけに頼ってbusを捕捉しないでください。"と助言しました[5]