エンタイトルメントのないアカウントでの VMware ESXi ・ vCenter のパッチダウンロード方法 (復刻版)

 3月に書いた記事、「2025年3月以降の vSphere ESXi ・ vCenter のパッチダウンロードとアップデート方法」で解説しましたが、
2025年2月末の Broadcom Support Portal サイトのシステム変更でソフトウェアダウンロードの仕組みに変更が入り、Broadcom Support Portal サイトを経由でのソフトウェアのパッチファイルのダウンロードが一部制限が入りました。

その結果、以前は可能だった「製品エンタイトルメントのないアカウント」、「製品 SnS、サブスクリプションの期限が切れたアカウント」でのパッチダウンロードが不可となってしまいました。

これらの制限については、6月辺りから再び緩和され、VMSA で報告される Severity  : Critical な脆弱性に関する修正パッチは、エンタイトルメントのないアカウントでもダウンロードできるようになりました。

今回の修正により、もともと昨年に CEO の Hock Tan が Blog : A changing market landscape requires constant evolution: our mission for VMware customers で表明していた

"To ensure that customers whose maintenance and support contracts have expired and choose to not continue on one of our subscription offerings are able to use perpetual licenses in a safe and secure fashion, we are announcing free access to zero-day security patches for supported versions of vSphere, and we’ll add other VMware products over time."

、および

KB : Zero Day (i.e., Critical) Security Patches for vSphere (7.x and 8.x) Perpetual License Customers with Expired Support Contracts にて説明されている Severity : Critical - CVSS Score 9 以上の脆弱性に関するパッチの提供が再開されたことになります。

修正パッチのダウンロードリンクにアクセスする方法は主に以下2つ

• VMSA のページ内、「References:」の各リンクから修正パッチの公開 URL にアクセスする方法
• Broadcom Support Portal > My Download > Free Downloads > VMware vSphere > Solutions にアクセス、対象バージョンの公開 URL にアクセスする方法

それぞれ簡易に紹介します。

※ どちらのパターンも事前に有効な Broadcom Support Portal のアカウントを作成し、必要情報を入力して Profile を完成させておきます。

• Broadcom サポートポータルとコミュニティにアカウントを登録する
  https://knowledge.broadcom.com/external/article/226420
  ※ Site ID や有効なエンタイトルメントの紐づけなしでも可能

VMSA のページ内、「References:」の各リンクから修正パッチの公開 URL にアクセスする方法

例として、3月に書いた記事で紹介した 脆弱性 VMSA-2025-0004（CVE-2025-22224、CVE-2025-22225、CVE-2025-22226） に関するパッチ入手までの手順をたどります。

• VMSA-2025-0004: VMware ESXi, Workstation, and Fusion updates address multiple vulnerabilities (CVE-2025-22224, CVE-2025-22225, CVE-2025-22226)
  https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/25390

VMSA のページを下の方にスクロールすると各プロダクトごとの影響度や修正バージョンがまとまった "Response Matrix: " の表があります。

公開対象となるのは基本的に Severity : Critical - CVSS Score 9 以上の脆弱性対応パットです。

"Response Matrix: " の下部にはそれぞれの修正パッチの公開リンクとリリースノートへのリンクがあります。

ESXi 8.0 U3d を例にすると、URL "https://support.broadcom.com/web/ecx/solutiondetails?patchId=XXXX" が修正パッチの公開先リンクです

VMware ESXi 8.0 ESXi80U3d-24585383
Downloads and Documentation:
https://support.broadcom.com/web/ecx/solutiondetails?patchId=5773  ← これ
https://techdocs.broadcom.com/us/en/vmware-cis/vsphere/vsphere/8-0/release-notes/esxi-update-and-patch-release-notes/vsphere-esxi-80u3d-release-notes.html

リンクにアクセスすると、下の方に "Solution Downloads" のテーブルがあります。

Broadcom Support Portal にログインしていない状態、または Profile が入力し終わっていないとダウンロードボタンは表示されません。

ログインした状態だと以下のようにダウンロードボタンが表示されます。※ キャプチャした画像は VMware Workstation や 無償の vSphere Hypervisor のダウンロードにも使っている Gmail で作成した Site ID やエンタイトルメントと紐づけていないアカウントです。

公開される修正パッチファイルの形式は、コンポーネントの種類や脆弱性レベルにもよりますが、ESXi の場合は必ず Zip 形式の Offline Depot ファイルは公開されます。ISO が公開されていなくても Zip の Offline Depot があれば PowerCLI の Image Builder を利用すればインストーラー ISO は作れます。必要なときは各自作ってください。

ちなみに vCenter の場合は、修正パッチ Zip (vCenter Shell で利用)、修正パッチ ISO (VAMI で利用)、新規インストール用 ISO (RDU などに利用)の3つが公開されます。

VMSA の発行をメール通知で知りたいとき

※ VMSA が発行された時にメール通知が欲しい、という方は以下公式 Blog の方に手順などをまとめましたので併せてご確認ください。

• Broadcom サポートサイト利用ガイド : セキュリティアドバイザリの確認方法
  https://blogs.vmware.com/vmware-japan/2025/04/broadcom-support-portal-security-advisories.html

Broadcom Support Portal > My Download > Free Downloads > VMware vSphere > Solutions にアクセス、対象バージョンの公開 URL にアクセスする方法

Broadcom Support Portal の My Download からたどる方法は、前回「vSphere Hypervisor (無償版 ESXi) の提供再開と入手方法、通常版との比較」と同じく "Free Downloads" に追加されました。

"vSphere" で絞り込めば "VMware vSphere" はすぐ見つかります。

"Products" タブには何も無いので、今までのパッチダウンロードと同じく ''Solutions" タブを開き、対象バージョンをクリックします。サポート期間の終了している 6.x 向けのパッチは提供されていません。

※ Edition はたくさん並んでますが、vCenter と ESXi のパッチはどれを選んでも同じです。

ここで法務上の免責事項などのメッセージがあるので、必ず理解しておいてください。

2025/7/3 時点

"By downloading any vSphere critical security patches (“Patch”), you are agreeing to the following terms:

The Patch is licensed with the same usage rights and restrictions as your existing license for the software that Broadcom has identified the Patch as relating to, including, but not limited to: (i) the Patch is for the internal use and benefit of the originally licensed company, which must hold a valid license for the relevant Broadcom Software; (ii) the Patch may only be used within such company’s facilities; and (iii) the Patch may not be disseminated to any other company.

If you do not have a current support entitlement for the related Broadcom Software at the time of downloading the Patch, then notwithstanding any provisions to the contrary, this Patch is provided “AS IS” and, to the extent permitted by law, without indemnification, liability, support or warranty of any kind whether express or implied.

This usage grant for the Patch is at no additional cost."

日本語訳

"vSphere の重要なセキュリティパッチ（以下「本パッチ」）をダウンロードすることにより、お客様は以下の条件に同意するものとします。

本パッチは、Broadcom が本パッチに関連すると特定したソフトウェアの既存ライセンスと同じ使用権および制限事項（以下に限定されない）に基づきライセンス供与されます。(i) 本パッチは、関連する Broadcom ソフトウェアの有効なライセンスを保有している必要のある、当初ライセンス供与された企業の内部使用および利益のために使用されるものとします。(ii) 本パッチは、当該企業施設内でのみ使用されるものとします。(iii) 本パッチは、他のいかなる企業にも頒布されないものとします。

本パッチのダウンロード時に、関連する Broadcom ソフトウェアに対する現在のサポート資格をお持ちでない場合、いかなる反対規定にもかかわらず、本パッチは「現状有姿」で提供され、法律で認められる範囲において、補償、責任、サポート、または明示的か黙示的かを問わずいかなる種類の保証も伴いません。

本パッチの使用許諾に追加費用はかかりません。"

要約

サポート資格(有効な SnS、サブスクリプション)を持たなくてもダウンロードしていいけど、サポートは提供しないからね。パッチは無償で提供するね。

VMSA で Critical と設定されたものが並ぶので、通常のパッチダウンロード画面にリストされたものより少ないです。

このリンクの先は、先に説明した VMSA からたどる修正パッチの公開先となっています。

vCenter や ESXi のパッチがダウンロードできなくて困っていた方は、これらを試してみてください。