2025年5月、BroadcomはVMware製品に存在する脆弱（ぜいじゃく）性と、それらに関するセキュリティ勧告を発表した。マルチクラウド管理自動化ツール「VMware Aria Automation」の脆弱性「CVE-2025-22249」は、深刻度が「重要」の評価だ。VM

管理ツール群「VMware Tools」の脆弱性「CVE-2025-22247」は、深刻度が「警告」に分類されている。

　VMware製品のサポートサービスを手掛けるRimini Streetは、これらの脆弱性を分析した。CVE-2025-22247については、VMの管理者権限を持つ攻撃者がこの脆弱性を悪用することで、ローカルファイルを改ざんし、そのVM内で安全ではないファイル操作を実行可能になる。この脆弱性を利用すると、VMware Toolsおよびそのオープンソース版「Open VM Tools」の欠陥を悪用し、VMのファイルシステムを操作できるようになるとRimini Streetは説明する。

　Rimini Streetの分析によると、CVE-2025-22249は、VMware Aria Automationのクロスサイトスクリプティング（XSS）脆弱性に関するものだ。XSSは、Webサイトに悪意あるスクリプト（簡易プログラム）を埋め込んで、エンドユーザーのWebブラウザで実行させることによって、情報漏えいや不正操作を引き起こす攻撃手法を指す。

　BroadcomはVMware Aria Automationのバージョン8.18系統、VMware Toolsのバージョン11系統および12系統 向けのパッチは公開したものの、一時的な回避策は提供していない。

　回避策がなく、永久ライセンスでVMware製品を利用するユーザー企業がパッチを入手できない状況は、BroadcomとVMwareユーザーの間に亀裂を生じさせるだけにとどまらない。「VMwareの所有者であるBroadcomが、ユーザー企業に対してサブスクリプションライセンスへの移行を促す間接的な圧力」だと一部の業界専門家はみる。

　VMware製品のサポートサービスを手掛けるSupport RevolutionのCEO、マーク・ペストーニ氏は、BroadcomがVMwareを買収して以来、価格の値上げや強制的なアップグレードの報告を耳にしてきた。ペストーニ氏は、永久ライセンスユーザーにパッチが提供されない今回の事態が、「ユーザー企業をサブスクリプションモデルに移行させるための新たな手段」のようだと感じている。「予算が厳しい企業や、アップグレードが困難な複雑で古いシステムを抱える企業にとっては、実に悩ましい問題だ」（同氏）

VMwareユーザーに生まれる新たな動き

　このような状況は、一部のVMwareユーザーを、サードパーティーのサポートおよび保守サービスに向かわせる可能性があるとペストーニ氏は主張する。製品の提供元であるBroadcomがサポートしなくなった古いバージョンのソフトウェアも、セキュリティパッチやサポートを提供してもらえるためだ。

　VMware製品の脆弱性にパッチを適用する代替手段は存在する。その一例が、Rimini StreetのVMware製品向けセキュリティサービスだ。このサービスは、VMware製品で構築したVMをユーザー企業自身で更新したりアップグレードしたりする手間を削減する。Rimini Streetのセキュリティツールは、脅威インテリジェンスと行動分析に基づき、既知および未知の脆弱性の防御に重点を置いている。このアプローチは、ベンダーが提供するパッチを必要とせずに、システムを悪用から保護するという。

　「戦略的なセキュリティ対策には、問題の発生を未然に防ぐ『積極的な緩和策』が不可欠であり、サードパーティーのサポートサービス事業者はその一助になる」。VMware製品のサポートサービスを手掛けるSpinnaker Supportで、サイバーセキュリティ担当バイスプレジデントを務めるクレイグ・サベージ氏はそう話す。

　パッチ適用前に脆弱性の影響を調査したり、設定の不備に起因する脆弱性を調査したりすることも、サードパーティーのサポートサービス事業者の役割だ。サベージ氏によると、VMの管理コンソール「vCenter Server」を意図せずインターネットに公開してしまう設定ミスは、単一のパッチを見逃すことよりもはるかに大きな脅威だ。

　「脆弱な管理用アカウントのパスワードはパッチでは修正できない。まず現状を評価し、必要な修正を実施するとともに、優れたセキュリティポリシーを運用することが必要だ」（サベージ氏）