中国関連グループがESXiゼロデイで「VM脱出」──公表1年前から実戦運用、境界装置→AD→ハイパーバイザーの三段跳びです

今日の深掘りポイント

• 「仮想マシン＝安全な隔離」という前提が、犯罪者の手で現実的に破られている事実が重いです。ハイパーバイザー・エスケープの武器化が国家レベルの専売特許ではなくなりつつある兆候です。
• 侵入連鎖は境界VPN機器→AD特権→ハイパーバイザーという“三段跳び”。ESXi単体のパッチ適用だけでは防げず、ネットワークとIDの防御が等しく重要です。
• 公開1年前からの悪用は「検知できない期間（detection gap）」が長期化していたことを示唆します。レトロスペクティブなログ狩り（2024年以降）を今すぐ計画したい局面です。
• ハイブリッド環境では、オンプレ仮想基盤の侵害がクラウド側の管理平面（IdP・CI/CD・バックアップSaaS）へ拡張し得ます。逆もまた然りで、境界の概念を再定義する必要があります。
• ゼロデイ連鎖を前提にした「パッチが間に合わない時間」の設計（Lockdown Mode、管理網分離、最小権限RBAC、死活監視による逸脱検知）への投資が差になります。

はじめに

Huntressの分析を起点に、中国に関連するサイバー犯罪者がVMware ESXiの未公開脆弱性を使い、仮想マシンからハイパーバイザーへ脱出してコード実行に至った事例が報じられました。侵入の入口はSonicWallのVPNアプライアンス。そこからドメイン管理者を奪取し、既知・未知の脆弱性を連鎖させてESXiへ到達する、教科書的かつ手間のかかったオペレーションです。重要なのは、この手法が公表より前に既に“実戦”で回っていた点です。攻撃者の成熟度が高いだけでなく、防御側の観測ギャップの長さを突かれたとも言えます。

本稿では、事実関係の整理に加え、VMエスケープの「実運用化」が組織の設計思想に与える含意、そして今すぐ取るべき手を、現場の視点で掘り下げます。

参考情報（報道）: The Register: China-linked crooks exploited VMware ESXi hypervisor zero-days

深掘り詳細

事実（報道で確認できる範囲）

• Huntressが分析した侵入では、攻撃者は仮想マシン内からESXiハイパーバイザーへ脱出できる高度なツールキットを用い、ハイパーバイザー上でコード実行に成功しています。2025年12月の事案が具体例として挙げられています。[The Register報道より]
• 侵入の起点はSonicWall製VPNアプライアンスの侵害で、そこからドメイン管理者アカウントを握り、横展開してESXiへ到達しています。[同上]
• VMwareは後に関連する脆弱性としてCVE-2025-22224、CVE-2025-22225、CVE-2025-22226を公表し、重要度はクリティカル～高と評価されています（報道の記載に基づく）。[同上]
• Huntressは、攻撃者が少なくとも公表の約1年前からこれらの脆弱性（あるいは類似のバグ）を実戦投入していた形跡を示したとされています。[同上]

注: 上記はThe Registerの報道に依拠しています。HuntressやVMwareの一次資料への直接リンクは当該記事に準拠してください。

インサイト（示唆）

• 犯罪エコシステムへの“VMエスケープの降りてきた感”。これまで高度な研究・国家系が中心だった領域で、サイバー犯罪者が恒常運用できるツールチェーンを確保したことの意味は大きいです。ハイパーバイザーが「最後の要塞」ではない前提に立ち、管理プレーンの縮退設計が必要になります。
• 三段跳びの構造的な強さ。境界装置→ID→仮想基盤という連鎖は、個別製品の脆弱性やゼロデイ有無を超えた「システムとしての脆さ」を突きます。いずれか1段のパッチ適用や監視を強化しても、他段で突破される確率が残る以上、横断的なセグメンテーション、特権分離、逸脱検知が鍵になります。
• 検知ギャップの痛点。公表前からの実戦利用は、EDRが届きにくいハイパーバイザー層や、観測しづらい管理ネットワークに攻撃者が“潜れる”ことの帰結です。SIEM/UEBAにvCenter/ESXiのイベントを正規化統合し、DCUI/SSH/ESXi Shell有効化、VIB導入・サービス変更、スナップショット/暗号化設定変更といった「運用の逸脱」をトリガにするのが実践的です。
• ハイブリッドの連鎖リスク。オンプレESXiの侵害は、同一IdP（SSO/AD/Azure AD）やバックアップSaaS、監視SaaSを経由してクラウド側へ波及し得ます。逆方向（クラウド管理の漏えい→オンプレvCenter乗っ取り）も同じです。境界線は「ネットワーク」ではなく「特権とワークフロー」に引き直すべきです。

脅威シナリオと影響

以下は報道・一般的知見に基づく仮説のATT&CKマッピングです。個別環境への適用にはフォレンジックでの検証が前提です。

• 初期侵入（Initial Access）

  • Exploit Public-Facing Application（公開アプライアンスの脆弱性悪用）: SonicWall VPNに対するエクスプロイトの可能性（T1190相当）
  • Valid Accounts（有効アカウントの悪用）: 侵入後に取得した認証情報でVPN/ADにログオン（T1078）

• 権限昇格・認証情報（Privilege Escalation / Credential Access）

  • Credential Dumping（LSA Secrets/NTDSなど）でドメイン管理者奪取（T1003系）
  • Exploitation for Privilege Escalation（ハイパーバイザー側脆弱性の悪用）: ESXi上での権限奪取（T1068）

• 側方移動（Lateral Movement）

  • Remote Services（RDP/SMB/WinRM/SSH 等）を用いた横展開（T1021系）
  • vCenter/ESXi管理インターフェースへの到達（管理網へのピボット）

• 実行・防御回避（Execution / Defense Evasion）

  • Command and Scripting Interpreter（PowerShell/Bash）: 運用ツール偽装（T1059）
  • Impair Defenses（ログ無効化/ローテーション改ざん、ESXi Shell/SSH一時有効化）（T1562）

• 目標到達と影響（Impact）

  • Hypervisor上での任意コード実行により、VMの停止・スナップショット改ざん・ディスク暗号化（ランサム）、バックアップ破壊（T1490）などが成立
  • データ窃取（Exfiltration over C2/Cloud Storage）（T1567）や継続的な隠密監視（Persistence via VIB/cron）も想定

影響評価の観点:

• 可用性: ハイパーバイザー単位の停止は一撃のBlast Radiusが大きく、DR設計の現実性（分散、相互汚染防止、復旧の独立性）を直撃します。
• 機密性: 同一ホスト上の複数VMが同時に覗かれうるため、テナント分離（社内部門・子会社・本番/検証）設計の前提が崩れます。
• 整合性: スナップショットやテンプレートの汚染は、復旧しても“既に改ざん済み”であるリスクを残します。

セキュリティ担当者のアクション

優先度順に、現実的な手当てを提示します。

1. 速攻のパッチ＆コンフィグハードニング

• VMwareが公表したCVE-2025-22224/22225/22226に対応するESXi/vCenterのパッチを最優先で適用します（検証環境→段階展開の計画を当日中に確定）。公開前からの悪用が示唆されるため、適用遅延は致命的です。
• vSphere Lockdown Mode、Secure Boot、TPM 2.0ホストアテステーションを有効化し、ESXi Shell/SSH（TSM-SSH）は必要時のみ時間制限付きで許可、DCUIアクセスは物理/帯域外に限定します。
• 管理ネットワークのL3/L4分離（vCenter/ESXi管理IPは跳び先制限、踏み台の多要素化、Outboundも最小化）を徹底します。

2. レトロスペクティブ・ハンティング（少なくとも2024年初頭まで）

• vCenter/ESXiのログ（hostd.log, vpxa.log, vpxd.log, vmkernel.log, shell.log, auth.log）をSIEMに集約し、以下の逸脱を洗います。
  • 予期せぬESXi Shell/SSHの起動・設定変更、ローカルrootログオン
  • 不明なVIB（ドライバ/エージェント）の導入、/etc/rc.local.d/local.shの改変
  • スナップショット/暗号化/鍵管理の設定変更、異常なVM停止・再起動の連鎖
  • vCenterの新規管理者/ロール変更、異常時間帯のRBAC逸脱
• Windows/AD側では、DCSync、Shadow Credentials、異常なLDAP/NTLM量、Tier0資産への横展開（RDP/SMB/WinRM）の痕跡を確認します。

3. 境界装置（SonicWall等）の是正

• 該当VPNアプライアンスの最新ファーム適用、管理UIの外部閉塞、MFA必須化、監査ログの長期保全・相関分析（認証失敗→急な成功→設定変更の連鎖）を実施します。
• 代替経路（IdPフェデレーション/SSO）を含む認証流路の棚卸し。死活/構成ドリフトの自動検出を入れます。

4. 特権・運用プロセスの再設計

• vSphereのRBACを最小権限に再定義し、ドメイン管理者にvCenter全権を与えない（分離ロール＋JIT/JEA相当の昇格ワークフロー化）。
• バックアップは論理的・ネットワーク的に隔離（immutable/air-gapped）、復旧経路も運用ネットワークから切り離します。復旧手順の「ハイパーバイザー汚染前提」リハーサルを行います。

5. 監視の“基盤寄り”強化

• vCenterイベント/タスク、ESXi API呼び出しのベースライン化と逸脱検知（急な大量スナップショット、テンプレート改変、権限付与）。
• EDRが届かない層の可視化に、ネットワークテレメトリ（管理VLANの東西トラフィック解析）と構成監査（CIS Benchmarks準拠）を組み合わせます。

6. インシデント前提の指揮系統

• ハイパーバイザー妥協時の封じ込め手順（管理網の即時遮断、ホストからVM移送の判断基準、鍵ローテーションの順序）を事前に手順書化し、当直・委託先も含めたロール演習を行います。

最後に。このニュースが示す“強度”は、単なるゼロデイの存在ではなく、「ゼロデイが流通し、長い時間をかけて静かに使われる」現実です。緊急度と信頼性は高く、かつ行動可能性も高いテーマです。パッチ適用は入口に過ぎません。設計・運用・監視・復旧を一本の線でつなぐことで、攻撃者の三段跳びを二段目で止められる組織にしていきたいです。

参考情報:

• The Register: China-linked crooks exploited VMware ESXi hypervisor zero-days