VMware vCenter にパストラバーサルの脆弱性（CVE-2026-59310）― 仮想化基盤の「管理面」を握られるということ

1管理面(management plane)という層

仮想化された環境では、実際に業務を動かす仮想マシンの層と、それらを作成・移動・複製・削除する管理の層が分かれています。vCenter は後者、すなわち管理面にあたるサーバです。ここを押さえられるということは、個々の仮想マシンに侵入するのとは意味が違います。管理面からは、稼働中の仮想マシンの停止も、ディスクの複製も、新しい仮想マシンの作成も行えます。1台ずつ守っていても、管理面が破られれば全体が同時に影響を受けます。

2パストラバーサルがコード実行になる理由

パストラバーサルは、ファイルの読み書き先を決める処理で経路の検証が足りず、想定した領域の外に出られる欠陥です。読み取りだけなら情報漏えいで済みますが、書き込みができる場合は、実行される場所にファイルを置ける可能性が生まれます。

設定ファイル、起動時に読まれるスクリプト、Webアプリケーションが配信するディレクトリ——どこに書けるかによって、単なるファイル操作がコード実行に変わります。

3是正期限3日という扱い

KEV追加は2026年8月18日、是正期限は8月21日で、猶予は3日です。当サイトが収録している他の項目には14日の期限が付いたものもあり、BOD 26-04 のもとで緊急度が項目ごとに分かれています。管理面のサーバは、更新のために一時停止すると配下の運用に影響が及ぶため、停止調整が難しい層でもあります。3日という期限は、その調整を平時に決めておかなければ成立しません。

4業務を動かす層と、それを操る層

仮想化された環境では、実際に業務を動かす仮想マシンの層と、それらを作成・移動・複製・削除する管理の層が分かれています。vCenter は後者にあたります。

KEV追加は2026年8月18日、是正期限は8月21日で、猶予は3日です。管理面のサーバは停止調整が難しい層でもあり、3日という期限は、その調整を平時に決めておかなければ成立しません。到達経路の制限（管理面へのネットワークアクセスを限定する）と、更新手順の事前準備が、この種の項目に対する実務的な備えになります。