Veeam Backup & Replication の複数の脆弱性が FIX：root 権限 RCE の恐れ

Veeam Backup Vulnerability Exposes Systems to Root-Level Remote Code Execution 

2026/01/07 gbhackers — Veeam が公開したのは、Veeam Backup & Replication に存在する、複数の深刻な脆弱性に対処するための重要なセキュリティ・アップデートに関する情報である。最も深刻な脆弱性は、攻撃者により root 権限でのリモート・コード実行 (RCE) を可能にし、影響を受けるシステムの完全な制御を奪われる可能性がある。一連の脆弱性は、Veeam Backup & Replication バージョン 13.0.1.180 以下の 13系ビルドに影響を及ぼす。ただし、広く利用されているバージョン 12.x 系は影響を受けないことを Veeam は確認している。

技術的リスク

これらの脆弱性は社内でのテスト中に発見されたものであり、バックアップ・インフラ全体に深刻なリスクをもたらす恐れがあるという。特定の権限ロール (バックアップ・オペレーター／テープ・オペレーターなど) を持つ認証済みユーザーが、権限昇格を実行できる点が問題とされている。

特に注目すべき脆弱性は以下の通りである。

• CVE-2025-59470 (CVSS：9.0：Critical)：バックアップ・オペレーターまたはテープ・オペレーターがパラメータを細工することで、postgres ユーザーとしてのリモート・コード実行に至る。この脆弱性は、高度な特権ロールへのアクセスを必要とするが、実運用環境を考慮した結果として深刻度は Critical と評価されている。
• CVE-2025-55125 (CVSS：7.2：High)：悪意のバックアップ・コンフィグ・ファイルを作成することで、root 権限でのリモート・コード実行が可能となる。

CVE ID	Severity	CVSS Score	Description
CVE-2025-55125	High	7.2	Allows Backup/Tape Operators to perform RCE as root via malicious config files.
CVE-2025-59468	Medium	6.7	Allows Backup Admins to perform RCE as postgres user via malicious password parameters.
CVE-2025-59469	High	7.2	Allows Backup/Tape Operators to write files as root.
CVE-2025-59470	Critical	9.0	Allows Backup/Tape Operators to perform RCE as postgres user via malicious parameters.

対応と推奨事項

バージョン 13 を使用している全ユーザーに対して、Veeam が強く推奨するのは、最新の修正パッチを直ちに適用し、潜在的な悪用を防ぐことだ。これらの脆弱性は、以下のバージョンで修正されている。

• 修正済みバージョン：Veeam Backup & Replication 13.0.1.1071

管理者にとって必要なことは、公式ナレッジ・ベース KB4738 からのアップデートを適用することだ。それに加えて、ユーザー・ロールの割り当てを見直し、最小権限の原則が確実に適用されていることを確認すべきである。

Veeam Backup & Replication 13 の複数の脆弱性が修正されました。一連の問題の原因は、バックアップ・オペレーターなどの特定の権限を持つユーザーによる、パラメータの細工や悪意のコンフィグ・ファイルの作成が可能な点にあります。本来は制限されているはずの操作が、入力値のチェックをすり抜けてしまい、結果として権限昇格が引き起こされます。特に、データベースを操作するユーザーや、システム全体を管理する root 権限でプログラムが実行されてしまうことが、被害を大きくする要因となっています。ご利用のチームは、ご注意ください。よろしければ、Veeam での検索結果も、ご参照ください。