ランサムウェアが、パッチ未適用VMwareシステムのコストを露呈

注意： このコンテンツは自動翻訳によって作成されており、誤りが含まれている可能性があります。最も正確で最新の情報については、英語版の原文をご参照ください。

お客様にとって最も懸念材料だったのは、ランサムウェアそのものだけではありませんでした。それは、重要なワークロードを、通常の方法ではパッチを適用できない古いバージョンのVMware上で依然として実行しているという事実でした。この脆弱性が露呈すると、毎日がセキュリティリスクとなってしまうのです。
フィリピンにおけるSangforのパートナー企業が、最近発生した顧客事例について振り返る。

多くのITチームにとって、ランサムウェアはもはや遠い可能性ではなく、数週間ではなく数時間で業務を中断させる可能性のある、現実の脅威となっている。基幹業務を支えるインフラストラクチャが、古い、脆弱性を抱えている、あるいは最新の状態に保つのが難しいソフトウェアバージョンに依存している場合、そのリスクはさらに切迫したものとなる。

だからこそ、VMwareの脆弱性を悪用する最新の警告が重要なのです。2026年2月、 BleepingComputerは、CISAがランサムウェア集団がVMware ESXiのサンドボックス脱出脆弱性（CVE-2025-22225）を悪用していることを確認したと報じました。この脆弱性は以前、ゼロデイ攻撃で悪用されていました。この脆弱性は2025年3月にBroadcomによって修正されていましたが、今回の事件は現場の厳しい現実を浮き彫りにしました。組織が老朽化またはサポート対象外のインフラストラクチャを使い続けると、公開された修正プログラムと実際のリスクとの間のギャップが危険なほど大きくなる可能性があるということです。

この問題は、多くの組織が脆弱性管理だけでなく、製品ライフサイクルの期限、サポートポリシーの変更、予算の制約、そしてビジネスを中断することなくレガシー仮想化環境のセキュリティを維持するという運用上の複雑さなど、様々な課題に既に取り組んでいる時期に発生した。

政策上の問題：パッチ適用がもはや選択肢にならない場合

多くの組織にとって、パッチ適用における障壁は、もはやダウンタイムや運用コストだけの問題ではない。ライセンスコンプライアンスの問題もその一つとなっている。

BroadcomによるVMwareの買収後、永久ライセンス（買い切りライセンス）のサポート状況は根本的に変化しました。主な問題点は、VMwareのバージョンがサポート期間を過ぎており、かつサブスクリプションモデルに移行していない場合、公式パッチを受け取ることが法的にも技術的にも不可能になるということです。

多くの顧客が現在直面している状況を考えてみましょう。

• vSphere 7.x ユーザーの方へ：一般サポートは 2025 年 10 月に終了しました。現在は「技術ガイダンス」フェーズ（2027 年 10 月まで）となっており、新たなセキュリティ パッチは提供されません。
• vSphere 6.x およびそれ以前のバージョン：これらのバージョンは、一般サポート終了日（EoGS）を大幅に過ぎています。
• 保守契約が期限切れのお客様： vSphere 8.xのようなサポート対象バージョンであっても、保守契約が期限切れになると、アップデートを受けられなくなります。大手小売業者Tescoの事例に見られるように、お客様はサブスクリプションに切り替えない限りアップデートをインストールできないと告げられています。

これは恐ろしい矛盾を生み出します。最も脆弱なシステムは、将来パッチが提供されないサポート対象外のバージョンに囚われているシステムなのです。攻撃者はこのことを知っています。彼らは、CVE-2021-21974の脆弱性（および同様の脆弱性）が永久に開いた扉であることを知っているので、これらの古くパッチ適用不可能なバージョンを実行しているシステムをスキャンします。

パッチ未適用システムへの攻撃の構造

ESXiArgsランサムウェア攻撃は、放置すると壊滅的な被害をもたらす「低速かつ緩慢な」エクスプロイトの典型的な例です。私たちの分析によると、この攻撃はCVE-2021-21974を介して最初の足がかりを得た後、明確な段階を経て展開されます。

1. 初期アクセス（CVE-2021-21974）：攻撃者はUDPポート427を介してOpenSLPサービスのヒープオーバーフローを悪用し、リモートコード実行を取得します。
2. 展開：悪意のあるファイル（encrypt、encrypt.sh、public.pem）が/tmp/ディレクトリにドロップされます。
3. 検出と暗号化：このランサムウェアは、すべてのストレージボリュームを列挙し、.vmdk（仮想ディスク）、.vmx（VM構成）、.vswp（スワップファイル）などの重要な仮想マシンファイルを標的にします。ファイルのロックには、SosemanukアルゴリズムとRSA暗号化の組み合わせを使用します。
4. 防御回避：復旧を防ぐため、システムログ、スケジュールされたタスク、およびバックアップファイルを削除します。
5. 身代金要求メッセージ：システムに「How to Restore Your Files.html」というファイルを残し、身代金の支払いを要求します。

サポート対象外のVMwareバージョンを使用している組織にとって、パッチ適用済みのバージョンへのアップグレードなど、従来の勧告で提示される「修復策」は選択肢になりません。残された選択肢は、身代金を支払う（決して推奨されない）か、データを失うかの2つだけです。

強靭な未来の構築：パッチ適用サイクルを超えたセキュリティ

今回の事件は、IT戦略における重大な転換点を浮き彫りにしました。セキュリティアップデートを受け取れないインフラストラクチャを運用することは、もはや許されません。ベンダーのパッチサイクルに依存すること、特にそのサイクルが厳格なライセンス条件を伴うサブスクリプションモデルに紐づいている場合は、セキュリティ体制全体にとって単一障害点となってしまいます。

当社のパートナー企業のお客様、そしてこの課題に直面しているあらゆる組織にとって、セキュリティをオプションの追加機能として扱うのではなく、最初からセキュリティを組み込む代替案を検討する時期が来ています。

Sangfor Virtualizationは、魅力的な未来への道筋を示します。セキュリティ統合の原則に基づいて構築されたSangfor Hypervisorは、単に仮想マシンを実行するためのプラットフォームではなく、セキュリティを中核とした包括的なデータセンターソリューションです。

SangforはESXiArgs問題の根本原因に以下のように対処しています。

• 統合されたセキュリティとインフラストラクチャ：個別のセキュリティツールを必要とするサードパーティ製ハイパーバイザーの断片的なモデルとは異なり、Sangfor HCIはランサムウェア対策機能、次世代ファイアウォール機能、マイクロセグメンテーションをネイティブに統合しています。この「後付けではなく組み込み」のアプローチにより、セキュリティポリシーはインフラストラクチャ自体の一部となります。
• 事前対策による脅威検出：当社のプラットフォームは、AIと行動分析を活用して、ランサムウェアの挙動（大量のファイル暗号化やバックアップの削除など）をリアルタイムで検出し、被害が発生する前に攻撃を阻止します。
• パッチ依存性の落とし穴を解消： Sangforなら、コアハイパーバイザーのパッチポリシーをサードパーティベンダーに依存する必要はありません。セキュリティアップデートは、統一された管理しやすいソフトウェアスタックの一部であり、複雑なライセンス上の問題に悩まされることなく、インフラストラクチャの回復力を維持できます。
• 運用効率化：従来のVMware環境からSangfor HCIに移行することで、データセンターが簡素化されます。ライセンス管理の複雑さが軽減され、総所有コスト（TCO）が削減されるだけでなく、コンピューティングとセキュリティの両方を管理するための単一の管理画面が実現します。
• テクノロジーとサービスの融合：当社のMDRサービスが提供するセキュリティ専門知識を活用し、仮想インフラストラクチャを監視して、ランサムウェア攻撃の兆候を検出します。当社のエンドポイントセンサーとネットワークセンサーはHCIとネイティブに統合されており、MDRサービスに必要な可視性を提供することで、あらゆるセキュリティインシデントを検知し、対応することを可能にします。これにより、当社のソリューションは単なる仮想化ソリューションから、包括的なセキュアコンピューティング体験へと進化します。

次にできること

ESXiArgsの蔓延は、単なるランサムウェア攻撃にとどまらず、破綻した運用モデルの兆候と言えるでしょう。サポート対象外でパッチ適用も不可能なレガシーシステムに固執する組織は、リスクを受け入れているだけでなく、自ら災難を招いているのです。

セキュリティがインフラストラクチャの不可欠な要素として常に最新の状態に保たれているSangfor Virtualizationのようなプラットフォームに移行することで、脆弱性と無許可のセキュリティリスクという悪循環からついに抜け出すことができます。古い脆弱性を悪用した次の攻撃が避けられない事態になるまで待つ必要はありません。