Red HatのVMware移行ツールに脆弱性6件、vCenterの管理者情報やKubernetes鍵が漏れる恐れ CVE-2026-53474ほか

VMwareからの乗り換えを「下見」するための無料ツールが、そのまま社内のVMware基盤とその裏側への侵入口になりうる──そんな深刻な脆弱性が6件まとめて、Red Hatの OpenShift Migration Advisor（移行アドバイザー） に公開されました。番号は CVE-2026-53469、CVE-2026-53470、CVE-2026-53471、CVE-2026-53474、CVE-2026-53475、CVE-2026-53476 の6本で、5本が CVSS 9.1〜9.6（Critical）という極めて高い深刻度です。

いま多くの企業が、Broadcomによる買収後に値上がりした VMwareからの脱却（VMwareエクソダス） を検討しており、その移行先候補がRed HatのOpenShift Virtualizationです。OpenShift Migration Advisorは、移行前に「自社のVMwareの仮想マシンがどれだけOpenShiftに移せるか」を無料で診断してくれるクラウドサービス（SaaS）で、利用者は自社のVMware環境内に OVA形式の評価用エージェント を置き、仮想マシンの一覧をRed Hat側へ送って診断を受けます。

今回の6件は、その「下見ツール」のテナント分離（利用企業ごとの仕切り）と、社内に置くエージェントの両方を貫きます。最悪のものでは、他社のVMware構成情報や長命の認証トークンが盗まれ、全利用企業の診断データが一括削除でき、アップロードした表からKubernetesの鍵が読み出され、社内エージェントとvCenterの通信を盗み見て管理者パスワードを奪えるという内容です。SaaS側はRed Hatが修正済みですが、利用企業は自社に置いたエージェントの更新と、関係する認証情報のローテーションが必要です。Red Hatの セキュリティ情報 を確認のうえ、いま対応をご検討ください。

OpenShift Migration Advisorとは何か、なぜVMware移行の今これが効くのか

OpenShift Migration Advisorは、Red Hatアカウントがあれば無料で使える移行診断サービスです。使い方は2通りあり、ひとつは RVTools（VMware環境の構成をExcelに書き出す定番ツール）の出力をアップロードする方法、もうひとつは自社のVMware内にOVA形式のエージェントを起動して、vCenter（VMware基盤の管理サーバー）から仮想マシン一覧を自動収集する方法です。集めた情報はRed Hatのクラウドへ送られ、移行のしやすさが診断されます。

ここで効いてくるのが「このツールは、各社のVMware基盤の中身という極めて機微な情報を集約している」という点です。どんな仮想マシンが何台あり、OSやIPアドレス、ネットワーク構成がどうなっているか──攻撃者にとっては、相手のインフラの設計図そのものです。さらに、社内に置くエージェントはvCenterの認証情報を握り、Red Hat側のSaaSはそれを多数の企業ぶん預かるマルチテナント構成になっています。下見のための無害なツールに見えて、実は「複数企業の仮想基盤への鍵束」が一カ所に集まる場所なのです。

今回の6件は、性質で2つに分かれます。ひとつはRed Hatが運営する SaaS側のテナント分離が崩れる4本（53469・53470・53471・53474）。もうひとつは 利用企業が自社に置くエージェント側の2本（53475・53476）で、vCenterへの通信盗み見と、エージェントへの侵入が成立します。

あなたの立場別、どこが危ないのか

「移行アドバイザーに脆弱性6件」と言っても、SaaSを使う側と、運営するRed Hat側で論点が違います。先に切り分けます。

①のSaaS側はRed Hatがサーバー側で修正するため、利用者がパッチを当てるものではありません。一方②は、利用企業が自社ネットワーク内に置いたエージェントの問題なので、更新と設定見直しは利用企業の責任で行う必要があります。診断を一度でも実施した企業は、エージェントが触れたvCenterの認証情報が漏れていないか、いま点検すべきです。

この6件が踏まれた時、移行の下見から何が持ち去られるのか

移行アドバイザーには、複数企業の仮想基盤の設計図と鍵束が集まります。これを狙う相手は抽象的な「攻撃者」ではありません。無料登録で同じSaaSに相乗りする悪意ある別テナント、他社のインフラ構成を狙う産業スパイや競合、ランサムの前段で侵入口を探す偵察役、エージェントを足がかりにする内部の不満分子です。持ち去られるのは、他社の仮想マシン一覧、長命のJWT、OVAイメージ、Kubernetes認証情報、そしてvCenterの管理者パスワードです。アップロードした棚卸し表や、社内の評価用エージェント一台が、その瞬間に自社と他社のVMware基盤への入口に変わります。

奪われた先は深刻です。vCenterの管理者情報が漏れれば、攻撃者は仮想基盤ごと掌握し、全VMの起動・停止・複製・データ吸い出しが可能になります。そこからランサムを基盤全体へ展開し、顧客データを持ち出すことが現実になり、SaaSのKubernetes鍵が渡れば運営基盤そのものが乗っ取られます。盗んだJWTで他テナントになりすませば、診断結果の改ざんや偽の認証情報の注入もできます。

その責任は、運営するRed Hatと、エージェントを置いた利用企業の双方に返ります。Red Hatはテナント分離崩壊の運営責任を、利用企業は自社vCenter資格情報の漏えいと通知義務を背負います。安全に移行するはずの下見ツールが侵入口に変わること自体が、CVSSに載らない損失です。更新と資格情報のローテーションを今打てるかが、移行の安全を分けます。

6本のCVEを個別に見る、どこで何が起きるのか

6本はSaaS側4本とエージェント側2本に分かれます。順番に整理します。

CVE-2026-53474: 棚卸し表のアップロードからKubernetesの鍵を読み出す（SQLインジェクション）

CVE-2026-53474（CVSS 9.6）は、RVToolsのExcel表をアップロードした際の「クラスタ名」欄が適切に処理されず、SQLインジェクション（CWE-89）が成立する問題です。ログイン済みの利用者が細工した表を送ると、任意のSQLが実行され、Kubernetesの認証情報を含むシステム上の機微ファイルを読み出せます。SaaS環境全体の掌握につながる、最も影響の大きい1本です。

CVE-2026-53469: 1回のDELETEで全利用企業のデータを消去（認証・認可の欠落）

CVE-2026-53469（CVSS 9.1）は、/api/v1/sources へのDELETE要求に認可とフィルタが欠けている問題（CWE-306）です。ログイン済みの利用者が削除要求を送るだけで、自社だけでなく全利用企業のソース・エージェント・診断結果をまとめて破壊できます。可用性に直撃する一撃です。

CVE-2026-53470: 他社のOVAイメージと長命トークンを盗む（認可バイパス）

CVE-2026-53470（CVSS 9.6）は、/api/v1/sources/{id}/image-url の所有者チェックを回避できる問題（CWE-639）です。ログイン済みの相手が他人のIDを指定すると、他社のOVAイメージ向けの署名付きS3 URLを取得でき、その中の 長命JWTやソース設定 を入手して、不正アクセスや改ざんの足がかりにできます。

CVE-2026-53471: トークンの宛先確認漏れでテナント分離を突破（JWT検証不備）

CVE-2026-53471（CVSS 9.6）は、エージェントAPIのミドルウェアがJWT内の source_id クレームを要求対象のソースIDと突き合わせていない問題です。これによりテナント分離が破られ、他社のインベントリ改ざん、偽の認証情報の注入、診断結果の汚染が可能になります。

CVE-2026-53475: エージェントとvCenterが平文通信、管理者情報を盗み見(証明書検証不備)

CVE-2026-53475（CVSS 9.3）は、社内に置くエージェント（assisted-migration-agent）が、vCenterとの通信で安全でないTLS接続をハードコードしている問題（CWE-295）です。同じネットワーク上の攻撃者が中間者攻撃で通信に割り込み、vCenterの管理者認証情報を傍受できます。これは利用企業の自社ネットワーク内で起きる、最も直接的な脅威です。

CVE-2026-53476: 細工した圧縮ファイルでエージェントに未認証で侵入（パストラバーサル）

CVE-2026-53476（CVSS 9.6）は、エージェントが受け取るgzip圧縮tarballのパス検査が甘く、パストラバーサル（CWE-22）で任意ファイルを書き込める問題です。同じネットワーク上の未認証の攻撃者が細工したtarballを送り込むだけで成立し、エージェント上での任意コード実行につながります。

影響と対策 早見表

記事公開時点で CISA KEV（悪用が確認された脆弱性カタログ） への登録は確認されていません。SaaS側の4本はRed Hatがサーバー側で修正しますが、利用企業は自社のエージェントを最新に保ち、関係する資格情報を入れ替える対応が要ります。

利用企業がいま取るべき動き

優先順に整理します。OpenShift Migration Advisorで一度でも診断を実施した、あるいは現在検討中の企業が対象です。

1. 社内に置いたエージェント（OVA）を最新版へ更新。CVE-2026-53475・53476はエージェント側の問題です。Red Hatのセキュリティ情報 で対応状況を確認し、古い評価用エージェントが社内に残っているなら停止・入れ替えてください。

2. vCenterの認証情報をローテーション。CVE-2026-53475は、エージェントとvCenterの平文通信から管理者情報を盗み見られる問題です。診断時にエージェントへ渡したvCenterアカウントのパスワードは、漏れた前提で入れ替えるのが安全です。

3. エージェントを置いたネットワークの隔離を点検。53475・53476はいずれも「同じネットワーク上の攻撃者」が前提です。評価用エージェントは管理セグメントなど限定された区画に置き、不要になったら速やかに撤去する運用にしてください。移行プロジェクトでは検証環境がそのまま残りがちで、放置されたエージェントは恰好の的になります。

4. アップロードした構成情報の棚卸し。SaaS側はRed Hatが修正しますが、自社のVMware構成図やインベントリがSaaSに保存されている事実は変わりません。何をアップロードしたかを把握し、機微な情報が含まれていた場合は影響範囲を社内で共有しておきましょう。

タイムライン

まとめ、移行を安全にするツールが、移行先と移行元の両方を危険にさらした

今回の6件で浮き彫りになったのは、VMware脱出という大きな移行の波に乗って広がる「下見ツール」が、複数企業の仮想基盤の鍵束を集約する新しい攻撃面になっているという構図です。移行アドバイザーはVMwareの中身（移行元）の情報を吸い上げ、OpenShift（移行先）の運営基盤につながっており、その両端が同時に危険にさらされました。便利な無料SaaSほど、預ける情報の重みを意識する必要があります。

利用企業が今すぐやるべきことは、ふたつです。社内に置いた評価用エージェントを最新化（または撤去）すること、そしてエージェントに渡したvCenterの認証情報を入れ替えること。SaaS側の修正はRed Hatに委ねつつ、自社ネットワーク内の足元は自分で固める。移行プロジェクトのセキュリティは、移行作業そのものと同じ重さで設計すべき段階に入っています。

参照元

• ▸NVD - CVE-2026-53469（DELETEの認可欠落、全顧客データ削除）
• ▸NVD - CVE-2026-53470（認可バイパス、他社トークン窃取）
• ▸NVD - CVE-2026-53471（JWT検証不備、テナント越境）
• ▸NVD - CVE-2026-53474（SQLインジェクション、K8s鍵読み出し）
• ▸NVD - CVE-2026-53475（証明書検証不備、vCenter情報傍受）
• ▸NVD - CVE-2026-53476（パストラバーサル、未認証コード実行）
• ▸Red Hat Security - CVE-2026-53474
• ▸Red Hat - OpenShift Migration Advisorの紹介
• ▸OpenShift Migration Advisor ドキュメント
• ▸CISA KEV カタログ