VMware vCenterの重大なRCE脆弱性を攻撃者が悪用 （CVE-2026-59310）

VMware vCenterの重大なRCE脆弱性を攻撃者が悪用（CVE-2026-59310）

BleepingComputer – August 13, 2026

最近修正されたVMware vCenter Syslog Serverにおける重大な脆弱性CVE-2026-59310が、リバースSSHツールの展開を目的とした攻撃キャンペーンで悪用されているという。DFIR企業のQUIRSOが報告した。

CVE-2026-59310は7月29日にBroadcomが公開したディレクトリトラバーサルの脆弱性で、ネットワークアクセスを持つ認証されていない攻撃者が悪用を成功させた場合、任意コードの実行が可能になる恐れがあるとされる。

QUIRSOによると、脆弱性の公開と緊急パッチのリリースからわずか5日後の8月3日から、侵害されたシステムが攻撃者のインフラに接続され始めたという。この攻撃キャンペーンはすぐさま拡大し、8月4日には151件の新たな被害者IPアドレスが観測され、7日までに被害者IPの数は361件に増加したとされる。これらのIPは47か国に分散しているが、半数以上がドイツ、米国、トルコ、イラン、フランスのものだとQUIRSOは伝えている。

QUIRSOによると、攻撃者は脆弱なvCenterシステムへのアクセスを取得した後、持続性の確保とリモートアクセスの獲得を目的にオープンソースのreverse_sshフレームワークを展開したとされる。

QUIRSOの研究者らは、この攻撃にAPTアクターが関与しているとの考えを示しているものの、これを裏付ける証拠は提示していない。

Nightmare Eclipse、Windowsのゼロデイエクスプロイト「ShieldBreak」をリリース

SecurityWeek – August 13, 2026

マイクロソフト製品のゼロデイエクスプロイトを多数リークしてきたセキュリティ研究者Nightmare Eclipse（Chaotic Eclipse）が、新たに「ShieldBreak」と名付けられたPoCエクスプロイトをリリース。8月の月例セキュリティ更新プログラムがリリースされた直後に公開されたこのPoCエクスプロイトはMicrosoft Defenderの脆弱性を標的とするもので、任意のユーザーによるSystem権限の取得を可能にするという。

Nightmare Eclipseによれば、このエクスプロイトは6月9日に同研究者が公開した別のゼロデイ「RoguePlanet（CVE-2026-50656）」のパッチバイパスとされる。RoguePlanetはDefenderにおけるレースコンディションの脆弱性で、マイクロソフトは7月9日にパッチをリリースしていた。

Nightmare Eclipseは、「マイクロソフトはRoguePlanet（CVE-2026-50656）を適切に修正することに失敗した」と述べてShieldBreakをリリースした。ただ、Tharros LabsのWill Dormann氏やサイバーセキュリティ専門家のKevin Beaumont氏は、ShieldBreakがRoguePlanetのバイパスであるとするNightmare Eclipseの主張に異を唱えている。

Beaumont氏によれば、「RoguePlanetは、仮想ディスクとNTネイティブのファイルの操作を利用して検疫プロセスを欺き、システムファイルを上書きさせるファイルシステムのレースコンディション」の脆弱性。一方でShieldBreakでは、「Defenderのクラウドハイドレーションスキャン中にcfapi（Cloud Filter API）を介してファイルの内容を変更する」ためにユーザーモードのコールバックフックが利用され、RoguePlanetとは動きが異なるという。またDormann氏は、「ShieldBreakが機能するにはDefenderがアクティブである必要があるようだ」と指摘。一方でRoguePlanetではその必要がなかったとされる。

マイクロソフト、Nightmare EclipseがリリースしたWindowsゼロデイ「LegacyHive」を修正（CVE-2026-62832）

BleepingComputer – August 13, 2026

マイクロソフトは2026年8月の月例セキュリティ更新プログラムにおいて、Nightmare Eclipse（Chaotic Eclipse）が7月にリークしたゼロデイ脆弱性「LegacyHive」を修正。同社は同ゼロデイにCVE-2026-62832という識別子を割り当てているものの、報告者としては「Nightmare Eclipse」ではなく「匿名の研究者」をクレジットしている。

LegacyHiveは、2026年7月の月例セキュリティ更新プログラムがリリースされてから数時間後にNightmare EclipseによってリークされたWindows User Profile Serviceのゼロデイ脆弱性。同研究者のリリースしたPoCを利用するには別の標準ユーザーの認証情報および第三のユーザー名が必要になるものの、PoCが成功すれば、ターゲットユーザーのハイブが現在のユーザーの「classes」ルートにマウントされることになると説明されていた。

マイクロソフトの公式アドバイザリによると、LegacyHiveはリンク解釈の問題（CWE-59）に起因。ローカルの攻撃者が悪用に成功すると、管理者権限の取得が可能になるとされる。