【更新 2026-08-16】本記事を見直し、修正しました。主な修正点：同梱OSSの一覧と当サイト既報の対応づけを訂正（一覧に含まれるBouncy CastleはCVE-2026-5598で、当サイトで扱った1.85の修正分とは別件。OpenSSLは一覧に含まれるCVE-2026-45447を扱った記事にリンクし直し）。
Dellが2026年8月6日、Dell Virtual Storage Integrator for VMware vSphere Client（VSI）のセキュリティアドバイザリ「DSA-2026-335」を公開し、70件の脆弱性を修正しました。うち自社コードの欠陥は2件で、CVE-2026-67261（CVSS 9.8）は認証なしでリモートからroot権限の任意OSコマンド実行が可能です。修正版は10.11.1.0以降で、アドバイザリに回避策の記載はありません。
問題は「Dellのストレージなんて使っていない」という読み方をしてしまうことです。VSIはvCenterに後から足された小さな仮想アプライアンスであり、多くの場合、情シスのソフトウェア資産一覧には出てきません。
この記事でわかること
- Dell VSIとは何をするもので、どこで動いているのか
- 今回修正された2件の自社コード脆弱性の内容と深刻度
- 70件のうち68件を占める「同梱OSS由来」の内訳
- Dell・NVDで深刻度の評価が割れている点と、その読み方
- 自社に該当するかの確認方法と、対応の優先度の考え方
Dell VSIとは何か
Dell VSI（Virtual Storage Integrator）とは、VMware vCenterのプラグインとして動き、vSphereの管理画面からDell製ストレージ装置のデータストアを作成・管理できるようにするソフトウェアです。
使うのは主に仮想化基盤の運用担当（VMware管理者）です。Dellの製品ガイド（7.4版）は、この製品の狙いを「ストレージ管理者が直接関与しなくても、VMware管理者が対応するDell EMCストレージ上のデータストアやRDMを払い出し・管理できるようにする」と説明しています。つまりストレージ担当を介さずに済ませるための道具であり、導入の動機からして「現場が便利のために入れる」性格のものです。
そして重要なのが、どのような形で社内に存在しているかです。VSIは実行ファイルをWindowsに入れる類のソフトではなく、OVAテンプレートとしてvCenterに展開される仮想アプライアンス（Linuxが動くVM）と、vCenterに登録されるプラグインの組み合わせで構成されます。Dellのコミュニティ記事は10.0について「VMとvCenter用プラグインの2つのコンポーネントから成り、VSIをvCenterに登録した時点でプラグインが展開される」と説明しています。
この形態が、情シスにとっての盲点になります。
- 資産管理ツールの「インストール済みソフトウェア一覧」に出ない。OVAで展開されたVMなので、拾われるとしても「名前のよく分からないVMが1台ある」程度です。
- 導入したのは情シスではないことがある。ストレージ導入時にベンダーやSIerが一緒に入れていくケースがあり、担当者が交代すると存在ごと引き継がれません。
- 管理ネットワークに置かれる。vCenterとストレージ装置の両方に到達できる位置に、設計上必ず配置されます。
何が起きたのか：自社コードの脆弱性2件
DSA-2026-335で公表された、VSI固有（Dellの自社コード）の脆弱性は次の2件です。いずれも認証不要・リモートから成立します。
| CVE | 種別 | Dell評価 | ベクタ | 内容 |
|---|---|---|---|---|
| CVE-2026-67261 | OSコマンドインジェクション（CWE-78） | 9.8（緊急） | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H | 「IAPI」コンポーネントの欠陥。アプリケーションの基盤となるOS上でroot権限の任意OSコマンド実行が可能。Dellは「システムの完全な乗っ取りにつながりうる」と記載 |
| CVE-2026-54489 | 機微情報の露出（CWE-200） | 9.1（緊急） | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N | アクティブなセッションの資格情報を取得し、管理者を含む認証済みユーザーになりすませる |
影響を受けるのは10.11.1.0より前のすべてのバージョン、修正版は10.11.1.0以降です。アドバイザリには回避策（ワークアラウンド）の記載がなく、対応は事実上「上げる」の一択になります。
注目すべきは、この2件が組み合わさると攻撃の前提条件がほぼ無くなる点です。CVE-2026-54489で管理者になりすませ、CVE-2026-67261でその下のOSをrootで握れる。しかもどちらも認証が要りません。
70件のうち68件は同梱OSS由来
アドバイザリに並ぶCVEを数えると全部で70件、うち自社コードは上の2件だけで、残り68件はVSIに同梱されているサードパーティ製コンポーネント（OSS）の脆弱性です。内訳は次のとおりです。
| コンポーネント | 件数 |
|---|---|
| OpenSSL | 20 |
| Apache Tomcat | 11 |
| Netty | 11 |
| Spring Boot | 5 |
| curl | 4 |
| Spring Framework / Spring Security / libpng | 各3 |
| nginx | 2 |
| expat / Bouncy Castle / libxml2 / Angus Mail / AssertJ / plexus-utils | 各1 |
この一覧は、アプライアンスの中身が何でできているかを示すSBOMの代わりとして読む価値があります。VSIはJavaのWebアプリケーション（Tomcat＋Spring＋Netty）がLinux上で動き、TLSはOpenSSLが担っている——という構造が、CVEの内訳から透けて見えます。
さらに、混ざっているCVEの古さにも目を向けてください。今回まとめて解消されたものの中には、curlのCVE-2025-5399（2025年6月公表）やApache TomcatのCVE-2025-55752（2025年10月公表）が含まれます。最も古いもので約14か月前に公表された既知の欠陥を、アプライアンスは抱えたまま動いていたことになります。
当サイトで個別に取り上げた脆弱性も、この一覧に入っています。たとえばSpring SecurityのSAML認証のDoS脆弱性（CVE-2026-40988）はSpring Securityの3件のうちの1件ですし、OpenSSLの署名検証の脆弱性（CVE-2026-45447）も20件のうちの1件です。Bouncy Castleのように、コンポーネントは当サイトで扱っていても、一覧に入っているのは別のCVE（1.84で修正されたCVE-2026-5598）というケースもあります。「ライブラリ単体の記事」として読み流した欠陥が、実は社内のアプライアンスの中で動いていた——という関係が、ここで可視化されます。
深刻度の評価は割れている
CVE-2026-54489については、Dellの評価とNVDの評価が食い違っています。
| 評価元 | スコア | 可用性への影響（A） |
|---|---|---|
| Dell（CNA・Secondary） | 9.1 | A:N（なし） |
| NVD（Primary） | 9.8 | A:H（高） |
一方でCVE-2026-67261にはNVDの独自評価が付いておらず、表示されるのはDellが付けた9.8だけです。同じアドバイザリの2件で、片方は評価が上書きされ、もう片方は評価元が1つしかない。スコアの出どころによって数字が動くという、よくある状況です（深刻度が割れる事例は以前も扱いました）。
悪用状況については、執筆時点で次のとおりです。
- CISA KEV（既知の悪用脆弱性カタログ）には未登録（2026年8月14日版で確認。70件すべて該当なし）
- NVDに記録されたCISAのSSVC評価（2026年8月6日時点）はexploitation: none（悪用の確認なし）。ただし同時にautomatable: yes（自動化可能）、technicalImpact: total（技術的影響は全面的）と判定されています
つまり「まだ悪用は確認されていないが、成立すれば全面的に持っていかれ、しかも自動化できる」という評価です。悪用確認の有無は評価時点のスナップショットであり、後から変わります。スコアやKEV登録の有無だけを起動条件にしている運用では、この手の脆弱性は動き出しが遅れます。
現場目線：このアプライアンスは「鍵束」を持っている
VSIが危ういのは、CVSSが9.8だからというより、置かれている場所と持っているもののためです。
VSIは、管理対象のストレージシステムを登録して使います。Dellの製品ガイド（7.4版）には「ストレージシステムの登録」手順があり、登録時に対象装置と資格情報を入力します。10.0世代でも、VSIのダッシュボードからPowerStoreを追加する形は同じです。加えて、初期設定でvCenterのアドレスと管理者相当の資格情報も登録します。
ということは、このアプライアンスのOSをrootで取られた場合、攻撃者が手にするのは「1台のVM」ではありません。vCenterとストレージ装置に向けた資格情報が集まっている場所です。仮想化基盤とストレージの管理面へ横移動する足場としては、これ以上ないほど都合がよい。ランサムウェアの被害が「暗号化」より先に「スナップショットとバックアップの削除」で決まることを考えると、ストレージ管理面を押さえられる意味は小さくありません（バックアップ管理基盤の未認証RCEも同じ構図でした）。
正直なところ、この種の「便利のために入った補助アプライアンス」は、情シスから最も見えにくい領域です。ハイパーバイザやvCenter本体はさすがに台帳に載っていて更新計画もある。しかしプラグインとして横に生えた小さなVMまでは、人手が足りない現場では手が回りません。導入したのが自分たちではなく、その後の運用にも登場しないなら、なおさらです。同じ構図はDell製品でも繰り返されていて、当サイトでもPowerProtectの359件やPowerFlexを扱ってきました。
自社に該当するかを確認する
資産台帳ではなく、vCenter側から探すのが確実です。
- vSphere Clientのプラグイン一覧を見る。VSIが登録されていれば、そこに出ます。バージョンも併せて確認し、10.11.1.0より前なら該当です。
- VSIアプライアンスのVMを特定する。プラグイン登録があるなら、対応する仮想アプライアンスがどこかのクラスタで動いています。
- そのVMへの到達範囲を確認する。管理セグメント外や、ましてやインターネットから到達できる状態になっていないかを見ます。認証不要の欠陥なので、到達できる範囲がそのまま攻撃可能な範囲です。
- ストレージ導入時のベンダー・SIerに問い合わせる。「入れた記憶がない」場合ほど、ここで見つかります。
対応は10.11.1.0以降へのアップグレードです。あわせて、使っていないなら登録解除して撤去することも選択肢に入れてください。役目を終えた補助ツールが動き続けているのは、よくある話です。
アドバイザリは「一度読んで終わり」にしない
DSA-2026-335の改訂履歴には、次のように記録されています。
- 1.0（2026年8月6日）初版
- 2.0（2026年8月6日）製品リストの更新
- 3.0（2026年8月12日）製品リストの更新（VSIを追加）
公開から6日後に、対象製品リストへの追加を伴う改訂が入っています。ベンダーアドバイザリは公開後に対象が広がることがあるという、運用上は地味に効く事実です。初報の時点で「うちの製品は入っていない」と判断して終わりにせず、対応中の案件については改訂の有無を後日もう一度確認する手順を入れておくと取りこぼしが減ります。
情シスはどうすべきか
個別のチェックリストを増やすより、公的機関の指針に沿った運用の型に載せるほうが結局は続きます。今回の件で参照したいのは次の2つです。
- 中小企業の情報セキュリティ対策ガイドライン（IPA）：情報資産の洗い出しと台帳整備の考え方がまとまっています。今回のような「台帳に載らない補助アプライアンス」をどう拾うかは、この土台がないと属人化します。
- ランサムウェア対策特設ページ（IPA）：管理面の防御とバックアップの保全は、まさに今回の攻撃経路の先にある論点です。
あわせて、「ベンダーやSIerに入れてもらった機器・VMを台帳に登録する」という運用ルールを明文化しておくことをおすすめします。技術的な対策ではありませんが、今回のような盲点は、地道な棚卸しとルールの周知でしか埋まりません。
まとめ
- Dell VSIに70件の脆弱性。うち自社コードは2件で、CVE-2026-67261は認証不要・リモートからroot権限の任意コマンド実行（CVSS 9.8）。修正版は10.11.1.0以降で、回避策の記載はありません。
- 残る68件は同梱OSS由来（OpenSSL 20件、Tomcat 11件、Netty 11件ほか）。最も古いもので約14か月前に公表された既知の欠陥を抱えたまま動いていたことになります。
- 該当判定は資産台帳ではなくvCenterのプラグイン一覧から行う。VSIはvCenterに後付けされる仮想アプライアンスで、ストレージとvCenterの資格情報が集まる場所にあります。KEV未登録でも、到達範囲の確認と更新は前倒しで検討する価値があります。
出典
- DSA-2026-335: Security Update for Dell Virtual Storage Integrator for VMware vSphere Client Multiple Vulnerabilities（Dell）
- NVD – CVE-2026-67261
- NVD – CVE-2026-54489
- CISA Known Exploited Vulnerabilities Catalog
- Dell EMC VSI for VMware vSphere Web Client 7.4 Product Guide（PDF・製品概要と登録手順）
- 「Dell VSI」において「クリティカル」含む脆弱性70件を修正（Security NEXT）
