Veeam ONE 6件の深刻な脆弱性が FIX：RCE や SQLi などの恐れ

Multiple Veeam ONE Vulnerabilities Allows Code Execution Attacks

2026/08/05 CyberSecurityNews — Veeam が公表したのは、Veeam ONE 13.1 向けのセキュリティ更新のリリースである。一連の脆弱性を悪用する攻撃者により、コード実行／機密性の高いファイルへのアクセス／データベース・データの窃取／権限昇格などが引き起こされる可能性がある。これらの脆弱性は、Veeam ONE 13.0.2.6723 以下のバージョン 13 のビルドに影響を及ぼすため、影響を受けるデプロイメントを使用している組織には、Veeam Knowledge Base article KB4892 に記載された、すべての問題に対処した Veeam ONE 13.1.0.7034 へ速やかに更新することが推奨される。

最も深刻な脆弱性である CVE-2026-64633 には、CVSS v4.0 スコア 10.0 の Critical が付与されており、この脆弱性を悪用する未認証の攻撃者は、Veeam ONE エージェント・ホスト上でリモート・コード実行を引き起こす恐れがある。外部に公開されたエージェント・ホスト上で認証なしに任意コードを実行でき、悪用に成功した攻撃者は、標的環境内に足場を得る可能性があり、それにより、マルウェア展開／ラテラル・ムーブメント／認証情報窃取／ランサムウェア活動などが引き起こされる可能性がある。

その他の Veeam ONE 脆弱性

2 つ目の高深刻度の脆弱性 CVE-2026-58075 を悪用する攻撃者は、ホストから任意ファイルを読み取ることができ、それにより、コンフィグ・ファイル／認証情報／ログなどの機密性の高いデータへのアクセスが生じる可能性がある。この問題は、ローカル権限昇格に悪用され得ると、Veeam は指摘している。

3 つ目の脆弱性 CVE-2026-58074 により、高権限ユーザーによるアクセスが行われると、Veeam ONE サーバ上での任意のコード実行に至る可能性があり、悪用には昇格済みアクセスが必要だが、内部者脅威アクターまたは事前に特権アカウントを侵害している攻撃者が、この脆弱性を介して悪意のあるコードを実行し、サーバに対する制御を拡大する可能性がある。

Veeam のアドバイザリ (KB4892) は、4 つ目の SQL インジェクションの脆弱性 CVE-2026-64631 にも対処しており、この脆弱性により、低権限ユーザーであってもデータベースの内容を抽出でき、それにより、インフラの詳細／バックアップ情報／アカウント・データや運用記録が露出し、攻撃者による環境のマッピングにつながることで、高価値システムの特定が可能になる。

5 つ目の脆弱性 CVE-2026-64634 により、Reporter サービス・コンテキストへのローカル権限昇格が可能になり、この欠陥を悪用するローカル・アクセスを持つ攻撃者は、追加の権限を取得し、対象サービスの機能を利用して、データへアクセスする可能性がある。

CVE IDIssueSeverity
CVE-2026-64633Unauthenticated RCECritical
CVE-2026-58075Arbitrary file readHigh
CVE-2026-58074Privileged code executionHigh
CVE-2026-64631SQL injectionHigh
CVE-2026-64634Local privilege escalationHigh
CVE-2026-64630Unauthorized report accessMedium

さらに Veeam は、共有レポートリンクの範囲外にあるレポートデータへの低権限ユーザーによるアクセスを許す、中深刻度の脆弱性 CVE-2026-64630 も修正した。

一連の脆弱性は HackerOne を通じて報告され、CVE-2026-58074 は Veeam の内部テスト中に発見された。脆弱性情報の公開後、攻撃者がパッチをリバース・エンジニアリングし、未パッチのインストール環境を特定して標的化することが多いと、Veeam は述べている。

セキュリティチームにとって必要なことは、すべての Veeam ONE バージョン 13 のデプロイメントを特定し、提供されている更新を速やかに適用することであり、組織に求められるのは、Veeam ONE サーバとエージェントの露出状況も確認することである。さらに、信頼された管理者へのアクセス制限／不審なアクティビティの監視／異常なデータベース・クエリ／レポートへのアクセス／コード実行イベントを調査すべきである。

訳者後書：システムの監視や運用状態の把握を担う Veeam ONE には、高度な制御権限や広範囲なデータアクセス領域が集中しやすい構造が存在します。そうした特性に起因するセキュリティ上の未実装部分が突かれ、攻撃者による不認証での遠隔操作や機密領域の閲覧、権限の昇格が生じる危険性があります。放置するとネットワーク内部での侵入拡大や情報漏洩を招くため、速やかに修正プログラムの適用を進めることが重要です。安全に利用するためにも、対象プロダクトの脆弱性 (CVE-2026-64633／CVE-2026-58075／CVE-2026-58074／CVE-2026-64631／CVE-2026-64634／CVE-2026-64630) に対処した最新版の Veeam ONE 13.1.0.7034 への移行が推奨されます。