資料ダウンロード お問い合わせ
脆弱性レーダー（for IT）

VMware（ESXi・vCenter）の脆弱性情報

2026.11.11 15:42 更新　VMwareの製品（ESXi・vCenter・Workstation・Fusionなど）

件数の多い製品直近1年

中・低など 0緊急・高 4悪用確認 4

Hitachi Dynamic Link Manager for VMware3Hitachi Dynamic Link Manager1VMware ESX1VMware vCenter1VMware Aria Operations1VMware vCenter Server1

深刻度の内訳

8件
緊急2高5中0低1未評価0

KEVへの追加年ごと・全34件

2026年42025年42024年52023年22022年112021年8

VMwareの脆弱性は、Broadcomの告知（VMSA）の表で、製品と系列ごとの修正版に当てて判断します。ESXiは版とビルド番号で修正版を示すため、ホストごとのビルド番号を確かめます。[1][2]

このページの要点
  • この1年にKEVへ追加されたVMwareの脆弱性は4件で、最新は2026-10-28のCVE-2026-41709です。
  • ESXiの版とビルド番号は、vSphere Clientのホストの［サマリー］タブか、PowerCLIで確かめます。[2]
  • 更新は累積で、前のパッチを先に当てる必要はありません。ESXiの更新ではホストの再起動が要ります。[2]

01今確かめたいVMwareの脆弱性

この1年に悪用が確認された件と、直近30日の深刻度「緊急」の件です。番号を押すと、一覧で詳しく確かめられます。

公表・更新製品内容状態
2026-10-28VMware ESXBroadcom VMware ESXで、管理者権限を持つ攻撃者が一部の操作をログに残さずに実行できる。悪用が確認されている。
CVE-2026-41709
解説記事を読む		悪用確認
2026-08-18VMware vCenterBroadcom VMware vCenterのパストラバーサル。ネットワークアクセスを持つ攻撃者が任意のコードを実行できる恐れがあり、悪用が確認されている。
CVE-2026-59310		悪用確認
2026-03-03VMware Aria OperationsBroadcom VMware Aria Operationsのコマンドインジェクション。認証なしの攻撃者に悪用される恐れがあり、悪用が確認されている。
CVE-2026-22719		悪用確認
2026-01-23VMware vCenter ServerBroadcom VMware vCenter Server の DCERPC 実装の範囲外書き込みにより、ネットワークアクセスを持つ攻撃者が悪用できる。悪用が確認されている。
CVE-2024-37079		悪用確認

02ESXiのバージョンとビルド番号の確かめ方

ESXiの版とビルド番号は、vSphere Clientでホストを選び、［サマリー］タブで確かめられます。PowerCLIでは、Connect-VIServerで接続したあと、次のコマンドでホストごとに一覧にできます。[2]

Get-VMHost | Select-Object Name,Version,Build

確かめたビルド番号を、告知（VMSA）の表の修正版のビルド番号と比べます。[1]

03ESXiを更新するときに確かめること

更新はオンラインのデポに公開され、vSphere Lifecycle Managerから当てられます。新しい版が出てこないときは、定期の同期を待たずにvCenterでデポを同期します。更新は累積なので、前のパッチを先に当てる必要はありません。vCenterとESXiの組み合わせは、VMware Product Interoperability Matrixで確かめます。[2]

ESXiの更新ではホストの再起動が要ります。vMotionで仮想マシンを他のホストへ移しながら、1台ずつ再起動します。[2]上げたあとに、もう一度ビルド番号を確かめます。

04ESXi 7.0・6.7を使っているとき

vSphere 7は2025年10月2日に一般サポートが終わっています。BroadcomはVMSA-2026-0006で7.0も対象とし、延長サポートの契約がある組織は、その手続きで修正を求めるよう案内しています。6.5と6.7は、一般サポートの終わった製品を評価しないため、対象と考えるよう求めています。[2]

05VMwareの保守終了（EOL）

保守が終わった系列には、脆弱性が見つかっても修正版が出ません。使っている系列の保守終了日を確かめ、終了が近ければ入れ替えの予定を立てます。

VMware ESXi

系列保守終了日状態最新版
9.12028-08-12残り640日9.1.1.0
9.02027-09-17残り310日9.0.2.0100
8.02027-10-11残り334日8.0 Update 3k
7.02025-10-02保守終了7.0 Update 3w
6.72022-10-15保守終了6.7 Update 3w
6.52022-10-15保守終了6.5 ESXi650-202403001

出典：endoflife.date（2026-11-03取得）

VMware vCenter Server

系列保守終了日状態最新版
9.12028-08-12残り640日9.1.1.0
9.02027-09-17残り310日9.0.2.0100
8.02027-10-11残り334日8.0 U3k
7.02025-10-02保守終了7.0 U3w
6.72022-10-15保守終了6.7 U3w
6.52022-10-15保守終了6.5 U3w

出典：endoflife.date（2026-11-03取得）

06悪用が確認されたVMwareの脆弱性（KEVの全件）

米CISAのKEVに載ったVMwareの脆弱性34件を、追加日の新しい順に並べています。全ベンダーの一覧はKEVの日本語一覧にあります。

VMwareのKEVの全件（34件）を飛ばす
KEVへの追加製品内容
2026-10-28VMware ESXBroadcom VMware ESXで、管理者権限を持つ攻撃者が一部の操作をログに残さずに実行できる。悪用が確認されている。
CVE-2026-41709解説記事を読む
2026-08-18VMware vCenterBroadcom VMware vCenterのパストラバーサル。ネットワークアクセスを持つ攻撃者が任意のコードを実行できる恐れがあり、悪用が確認されている。
CVE-2026-59310
2026-03-03VMware Aria OperationsBroadcom VMware Aria Operationsのコマンドインジェクション。認証なしの攻撃者に悪用される恐れがあり、悪用が確認されている。
CVE-2026-22719
2026-01-23VMware vCenter ServerBroadcom VMware vCenter Server の DCERPC 実装の範囲外書き込みにより、ネットワークアクセスを持つ攻撃者が悪用できる。悪用が確認されている。
CVE-2024-37079
2025-10-30VMware Aria Operations and VMware ToolsBroadcom VMware Aria OperationsおよびVMware Toolsの危険な操作を伴う特権定義。非管理者のローカル攻撃者に悪用される恐れがあり、悪用が確認されている。
CVE-2025-41244
2025-03-04ESXi, Workstation, and FusionVMware ESXi・Workstation・Fusion の HGFS における範囲外読み取りで、仮想マシンの管理者権限を持つ攻撃者がメモリ内容を漏えいさせられる。悪用が確認されている。
CVE-2025-22226
2025-03-04ESXiVMware ESXi の任意書き込みにより、VMX プロセス内の権限を持つ攻撃者がカーネルへの任意書き込みを起こし、サンドボックスを脱出できる。悪用が確認されている。
CVE-2025-22225
2025-03-04ESXi and WorkstationVMware ESXi と Workstation の TOCTOU 競合状態により範囲外書き込みが起き、仮想マシンのローカル管理者権限を持つ攻撃者が悪用できる。悪用が確認されている。
CVE-2025-22224
2024-11-20vCenter ServerVMware vCenter Server の権限低下処理の不備による権限昇格で、ネットワークアクセスを持つ攻撃者が権限を昇格できる。悪用が確認されている。
CVE-2024-38813
2024-11-20vCenter ServerVMware vCenter Server の DCERPC 実装のヒープバッファオーバーフローにより、ネットワークアクセスを持つ攻撃者が悪用できる。悪用が確認されている。
CVE-2024-38812
2024-07-30ESXiVMware ESXi の認証回避により、Active Directory で十分な権限を持つ攻撃者が ESXi ホストへの完全なアクセスを得られる。悪用が確認されている。
CVE-2024-37085
2024-07-17vCenter ServerVMware vCenter Server の既定のファイル権限が不適切で、特権を持つ遠隔の攻撃者が機密情報へアクセスできる。悪用が確認されている。
CVE-2022-22948
2024-01-22vCenter ServerVMware vCenter Serverにおける境界外アクセスの脆弱性。リモートからコードを実行される恐れがある。悪用が確認されている。
CVE-2023-34048
2023-06-23ToolsVMware Toolsにおける認証回避の脆弱性。認証を回避される恐れがある。悪用が確認されている。
CVE-2023-20867
2023-06-22Aria Operations for NetworksVmware Aria Operations for NetworksにおけるOSコマンドインジェクションの脆弱性。リモートからコードを実行される恐れがある。悪用が確認されている。
CVE-2023-20887
2022-08-25Spring CloudVMware Tanzu Spring Cloud Function のルーティングで、細工した SpEL 式の routing-expression によりリモートコード実行が可能になる。悪用が確認されている。
CVE-2022-22963
2022-05-16Spring Cloud GatewaySpring Cloud Gateway で、Gateway Actuator エンドポイントが有効かつ公開され無保護の場合にコードインジェクションを受ける。悪用が確認されている。
CVE-2022-22947
2022-04-15Multiple ProductsVMware Workspace ONE Access、Identity Manager、vRealize Automation のサポートスクリプトの権限不備による権限昇格の脆弱性。悪用が確認されている。
CVE-2022-22960
2022-04-14Workspace ONE Access and Identity ManagerVMware Workspace ONE Access と Identity Manager のサーバーサイドテンプレートインジェクションで、リモートコード実行が可能になる。悪用が確認されている。
CVE-2022-22954
2022-04-04Spring FrameworkJDK 9 以降で動く Spring MVC / Spring WebFlux アプリが、データバインディング経由でリモートコード実行を受け得る脆弱性。悪用が確認されている。
CVE-2022-22965
2022-03-25Spring Cloud Configuration (Config) ServerVMware Tanzu Spring Cloud Configのディレクトリトラバーサル脆弱性で、アプリケーションが任意の設定ファイルを配信してしまう。悪用が確認されている。
CVE-2020-5410
2022-03-25SD-WAN EdgeVMware SD-WAN Edge by VeloCloud Command Injectionに関する脆弱性で、OSコマンドインジェクションなどの問題が生じる。悪用が確認されている。
CVE-2018-6961
2022-03-25Spring Data CommonsVMware Tanzu Spring Data Commons Property Binderに関する脆弱性で、プロパティバインドの不備などの問題が生じる。悪用が確認されている。
CVE-2018-1273
2022-03-07vCenter Server and Cloud FoundationVMware vCenter Server と Cloud Foundation のプラグインで URL 検証が不適切なため、サーバーサイドリクエストフォージェリが起きる。悪用が確認されている。
CVE-2021-21973
2022-01-18vRealize Operations Manager APIVMware vRealize Operations Manager API のサーバーサイドリクエストフォージェリで、ネットワーク到達可能な攻撃者が悪用し得る。悪用が確認されている。
CVE-2021-21975
2022-01-10vCenter ServerVMware vCenter Server の rhttproxy で URI 正規化の実装が不適切なため、アクセス制御が不十分になる。悪用が確認されている。
CVE-2021-22017
2021-11-03vCenter ServerVMware vCenter Server の Analytics サービスにファイルアップロードの脆弱性があり、443 番ポートへ到達できるユーザーがコード実行し得る。悪用が確認されている。
CVE-2021-22005
2021-11-03vCenter ServerVMware vCenter Server の vSphere Client で、既定で有効な Virtual SAN Health Check プラグインに入力検証の不備がある。悪用が確認されている。
CVE-2021-21985
2021-11-03vCenter ServerVMware vCenter Server の vSphere Client のプラグインにリモートコード実行の脆弱性がある。悪用が確認されている。
CVE-2021-21972
2021-11-03Multiple ProductsVMware Workspace One Access、Access Connector、Identity Manager等のコマンドインジェクションで、ポート8443の管理設定画面にネットワークアクセスできる攻撃者が悪用できる。悪用が確認されている。
CVE-2020-4006
2021-11-03ESXiVMware ESXiのOpenSLPのuse-after-free脆弱性で、管理ネットワーク内の攻撃者がポート427経由でリモートコード実行できる。悪用が確認されている。
CVE-2020-3992
2021-11-03vCenter ServerVMware vCenter ServerのVMware Directory Service（vmdir）で、PSCのアクセス制御が不適切なため情報漏えいが生じる。悪用が確認されている。
CVE-2020-3952
2021-11-03Multiple ProductsVMware Fusion、Remote Console（VMRC）for Mac、Horizon Client for Macのsetuidバイナリの不適切な使用により、root権限へ昇格できる。悪用が確認されている。
CVE-2020-3950
2021-11-03VMware ESXi and Horizon DaaSVMware ESXiおよびHorizon DaaSのOpenSLPのヒープベースのバッファオーバーフローで、ポート427にネットワークアクセスできる攻撃者が悪用できる。悪用が確認されている。
CVE-2019-5544

07VMwareの解説記事

仮想化・サーバー基盤公開 2026-11-02

VMware ESXiの脆弱性CVE-2026-41709｜悪用確認、操作が記録されない問題の対象と修正版

VMware ESX（ESXi）の脆弱性CVE-2026-41709は、管理者の権限を持つ者が一部の操作をログに残さずに行えるおそれがあり、米CISAが悪用の証拠をもとにKEVへ追加しました。回避策は無く、8.0 U3j・9.0.2.0100などの修正版に上げます。

セキュリティ対策サービス一覧AIを悪用した攻撃への対策について、相談、リスクの診断、システムの改修を支援します。必要なものだけを選んで依頼できます。
無料で相談するサービス一覧を見る

よくある質問

ESXiの版が同じなら、ビルド番号は見なくてよいですか？

いいえ。告知は修正版をビルド番号まで含めて示すため、ビルド番号で比べます。[1]

vSphere 7のESXiにも修正版は出ますか？

VMSA-2026-0006では、Broadcomは7.0も対象とし、延長サポートの契約で修正を求めるよう案内しています。[2]

出典・参考資料

  1. Broadcom：VMSA-2026-0006.2: VMware ESX, vCenter, Workstation, and Fusion updates address multiple vulnerabilities2026-07-29（日本時間、2026-08-19改訂）　／　製品と系列ごとの修正版のビルド番号
  2. Broadcom（VMware）：VMSA-2026-0006 Questions & Answers2026-07-29公開（2026-11-11確認）　／　版とビルド番号の確かめ方、更新の進め方、7.0・6.7の扱い
  3. 米CISA：Known Exploited Vulnerabilities Catalog2026-11-11確認　／　悪用が確認された脆弱性の一覧