「VMware永久ライセンス」を危険にさらす“ゼロデイ脆弱性”とは：VMware利用継続にまつわる新たな課題

　Broadcomは2025年3月、ハイパーバイザー「VMware ESXi」「VMware Workstation」「VMware Fusion」を含む複数のVMware製品に影響を及ぼす3件のゼロデイ脆弱性について、緊急セキュリティアドバイザリー（セキュリティに関する情報）を公表した。中でも最も深刻な脆弱性は、VMware ESXiとVMware Workstationにおける脆弱性だという。ゼロデイ脆弱性とは、ベンダーがその存在を認識しておらずパッチ未提供となっている脆弱性を指す。

　セキュリティ企業Rapid7によれば、これらの脆弱性は遠隔から悪用可能なものではない。影響を受けるVMwareハイパーバイザー上で動作している仮想マシン（VM）に対して、攻撃者が既に特権アクセス（管理者またはroot権限）を持っていることが前提となる。

　Rapid7はブログで、3つの脆弱性は連鎖的に組み合わせて利用される可能性があると述べている。「ゲストOSを既に侵害し、特権アクセスを獲得した攻撃者が、ハイパーバイザーそのものに侵入するという状況が想定される」と警告する。

　Broadcomは、VMware ESXi、サーバ仮想化ソフトウェア「VMware vSphere」、プライベートクラウド構築用製品群「VMware Cloud Foundation」（VCF）の全てのバージョンが、修正済みとして明示されていない限り影響を受けるという。「影響の有無に確信が持てない場合には、脆弱であると見なして直ちに対策を講じるべきだ」と警告している。加えて、この脆弱性は「実際に悪用された事例が発生している」とも言及している。

パッチの提供状況

　旧バージョンの「VMware ESX」を使用しているVMwareユーザー向けには、BroadcomがESXのバージョン6.7用のパッチ（修正プログラム）を発行しており、全てのユーザーがサポートポータルから利用可能だ。一方、ESXのバージョン6.5のユーザーは、パッチへアクセスするために延長サポートを利用する必要があるとBroadcomは述べている。

　一般サポートが終了した製品については評価の対象外とされており、vSphereのバージョン6.5と6.7のユーザーには、vSphereのバージョン8へのアップグレードが強く推奨されている。

　Broadcomが提供するパッチを適用するには、VMwareのサブスクリプションに移行する必要がある。ただし、サポート対象のvSphereバージョンをカバーする中古ライセンスを調達する準備があるならば、それによっても最新のサポート対象VMwareリリース向けのパッチとアップデートを全て受け取ることができる。

　十分に管理された上での移行であれば、VMwareサブスクリプションへの移行は適切な選択肢となり得る。特に、VCFを活用し、仮想化とコンテナの両方を管理する必要がある組織にとっては有効な選択だ。

VMwareサブスクリプションのメリット

　ITサービス企業DXC Technologyでクラウドおよびインフラ担当フィールドCTO（最高技術責任者）を務めるホランド・バリー氏は、VMwareのライセンスモデルの変化に適応する過程で、多くの組織がコスト最適化と業務効率向上の機会を見出していると述べる。

　バリー氏は、多くの企業が以下のような機能をVCFで置き換えることで、IT基盤全体を合理化していると述べる。

　調査会社Clickchart（CCS Insightの名称で事業展開）で主席アナリストを務めるボラ・ロティビ氏は、VCFのメリットの一つは、仮想マシンとコンテナオーケストレーションツール「Kubernetes」ベースのアプリケーションの両方を1つのプラットフォームで支援できる点だと述べる。「多くの企業は、依然として仮想マシン上で稼働するレガシーアプリケーションを使用しているが、一方でクラウドネイティブかつコンテナ化されたアプリケーションによるモダナイゼーション（最新化）も目指している。VCFは、そうした二重構成を強いることなく、両者をシームレスに統合する」（ロティビ氏）

　バリー氏は、IT管理者に対し、VMwareの新要件である「1CPUソケット当たり16コア以上」にハードウェア構成を合わせるよう提案している。メモリとCPUの比率を慎重に再調整することで、追加のリソースを避けつつ、アプリケーションの最適化が実現されるという。

困難なリスクの見極め

　多くのIT管理者は、パッチ未適用のIT環境で運用することにリスクを感じているが、VMwareは成熟した製品であり、セキュアな環境維持に関するベストプラクティスは広く知られている。

　サードパーティーサポートベンダーSpinnaker Supportによると、VMwareのユーザー企業は、旧製品が新たに発見された脆弱性の影響を受けるかどうか、自力で評価しなければならないという。ESX 6.7に関する最近の脆弱性では、該当機能はESXのバージョン5.5には存在しておらず、ESX 5.5を使用している組織にとっては無関係の問題だと同社は説明する。

　BroadcomによるVMware製品のバンドル化は、製品群の簡素化につながった一方で、Spinnaker Supportの経験では、多くの組織が使用していない製品にもパッチが提供される結果となっている。

　Spinnaker Supportでサイバーセキュリティ担当バイスプレジデントを務めるクレイグ・サベージ氏は次のように述べる。「Broadcomのバンドル戦略により、実際のセキュリティリスクの判別が困難になっている。全てが大規模かつ高価なパッケージに含まれることで、何を本当に守るべきで、何がそうでないのかを見極めるのが非常に難しくなっている」

（翻訳・編集協力：編集プロダクション雨輝）