Veeam Agent の脆弱性 CVE-2026-32996：Windows の SYSTEM 権限を侵害する PoC が登場

Veeam Agent Flaw Actively Exploited to Gain SYSTEM Privileges on Windows

2026/09/22 CyberSecurityNews — Veeam Agent for Microsoft Windows の深刻なローカル権限昇格の脆弱性 CVE-2026-32996 が、概念実証 (PoC) のエクスプロイト・コード公開を受けて注目されている。この脆弱性を悪用する低権限のローカルユーザーは、影響を受ける Windows デバイス上で NT AUTHORITY\SYSTEM 権限によるコマンド実行を引き起こす可能性がある。2026年9月14日に公開された技術的な詳細／エクスプロイト・コードにより、侵害後の攻撃チェーンに脆弱性 CVE-2026-32996 が組み込まれるリスクが高まっている。この脆弱性は、Veeam Agent for Microsoft Windows バージョン 13.0.2.1102 以下のビルドに影響する。

Veeam Agent の脆弱性が悪用

この問題は Veeam Endpoint Backup サービスに存在する。このサービスでは、\\.\pipe\Veeam\VAW\ServiceConnectionPipe に配置されたローカルの gRPC 名前付きパイプを通じて、権限を必要とするクライアントの処理が実行される。

GitHub の研究者 suce0155 が発見したのは、昇格した管理者 ID とクライアント側で制御可能なセッション UID が、このサービスにより関連付けられて保存されることである。しかし、この UID は、リクエストを行ったユーザー／元のパイプ接続と安全に結び付けられていない。

そのため、ローカルの攻撃者は昇格済みのセッション ID を再利用し、Veeam サービスに SYSTEM レベルの権限でコマンドを実行させる可能性がある。必要なセッション ID は、C:\ProgramData\Veeam\Endpoint\ にある "Svc.VeeamEndpointBackup.log" ファイルから取得できると報告されている。

通常のローカルユーザーが、このログファイルを読み取れるため、限定的なアクセス権しか持たない攻撃者であっても、有効な UID をログから探索し、その ID を外部から利用可能なサービス・インターフェイスに受け渡す可能性がある。

公開された Exploit コードでは、Veeam のログファイルから有効な GUID を特定して、Windows の whoami コマンドを実行することで、この問題を実証している。コマンドの出力がファイルへ書き込まれ、プロセスが NT AUTHORITY\SYSTEM アカウントで実行されていることを確認できる。

この脆弱性の悪用に際してローカルアクセスが必要だが、フィッシング／窃取した認証情報／マルウェア感染／侵害したリモートアクセス用アカウントなどを通じて、攻撃者が低権限のアクセスを確保することが多発している。その一方で SYSTEM 権限は、ほとんどの Windows システムにおいて最高レベルの権限である。

このアクセス権を取得した攻撃者は、セキュリティツールの無効化／保護されたデータへのアクセス／システム設定の変更／永続的なアクセスの確立／認証情報の窃取などを通じて、企業環境内での横展開などを実行する可能性がある。

すでに Veeam は、Agent for Microsoft Windows ビルド 13.0.3.1220 をリリースし、この問題に対処している。組織に推奨されるのは、Veeam Backup & Replication をバージョン 13.0.2.29 以降へアップグレードすることであり、この Agent は Veeam Backup & Replication 13.0.2.29 以降にも組み込まれているため、これにより Windows Agent も修正済みビルドへと更新される。

セキュリティチームに求められるのは、Veeam Agent バージョン 13.0.2.1102 以下を実行しているシステムを特定し、共有ワークステーション／サーバ／管理者用エンドポイント／バックアップやヘルプデスクの担当者が使用するデバイスなどの修正を優先することである。これらのシステムには、複数のユーザーや特権ワークフローが存在するため、ローカルアクセスを悪用される可能性が高くなり、リスクも大きくなる。

なお、脆弱性 CVE-2026-32996 に対して、ベンダーがサポートする信頼できる回避策は確認されていない。主な緩和策は、影響を受ける Veeam Agent を、パッチ適用済みのリリースへアップグレードすることである。

パッチ適用が完了するまでの間にユーザー組織に推奨されるのは、影響を受けるエンドポイントへの対話型アクセスの制限や、ローカルアカウントの権限確認などである。バックアップ担当者や管理者による、Veeam Endpoint Backup サービスとログファイルに関連する不審な活動の監視と、SYSTEM 権限で起動された想定外の子プロセスの監視も重要である。

この記事は、Veeam Agent for Microsoft Windows におけるローカル権限昇格の脆弱性 CVE-2026-32996 を解説するものです。gRPC 名前付きパイプ処理時のセッション識別子の紐付け不備とログファイルからの ID 漏洩が原因であり、低特権ユーザーによる最高権限での任意のコマンド実行／セキュリティ機能の無効化／内部ネットワークでの横展開などの被害につながる恐れがあります。パッチ適用済みのビルド 13.0.3.1220 以上のバージョンへの更新／影響を受ける端末の特定／対話型アクセスの制御／SYSTEM 権限での不審なプロセスの監視が対応策として求められます。