Critical Veeam Backup & Replication Flaw Allows Low-Privileged Users to Execute Remote Code
2026/10/07 gbhackers — Veeam がリリースしたのは、低権限のユーザーであっても Veeam Backup Server 上でリモート・コード実行を可能にする、深刻な脆弱性に対処するセキュリティ・アップデートである。この脆弱性 CVE-2025-64393 (CVSS 9.4) は、バージョン 12 のビルド 12.3.2.4854 以前に影響を及ぼすが、2026年10月6日にリリースされた Veeam Backup & Replication 12.3.2 P4 (ビルド 12.3.2.4934) で修正されている。Veeam は、バージョン 13 のビルドは影響を受けないと明言しているため、バックアップ環境全体の影響範囲を評価するには、正確なバージョンの特定が重要となる。
Veeam Backup & Replication の重大な脆弱性
Veeam のアドバイザリによると、この脆弱性を悪用する前提として、Backup Viewer ロールが割り当てられた認証済みアカウントが必要となる。この脆弱性の原因は、Mount Service を通じて処理される信頼できないデータに対する安全ではないデシリアライズにあり、バックアップサーバ上でのリモートコード実行を、低権限のユーザーに許す可能性がある。
公開された CVSS ベクターが示すのは、ネットワーク経由で攻撃可能／攻撃の複雑性が低い／必要な権限が低い／ユーザー操作が不要という条件である。
また、脆弱なシステムと、その後に影響が及ぶシステムの両方について、機密性／完全性／可用性に重大な影響を与えることも示されている。認証が必要であるにもかかわらず、これらの特性により深刻度は Critical と評価されている。
Veeam は、最初の報告者として HackerOne を挙げているが、そのアドバイザリにおいて、攻撃用のペイロード／技術的な再現手順／コードが実行される際の具体的なアカウントは公開されていない。
また、今回の公表では、実環境での悪用が発生しているかどうかも確認されていない。ただし、こうした情報が示されていないことを、影響を受ける環境が安全であるという保証と解釈すべきではない。
2026年10月のアップデートは、Cloud Connect／Enterprise Manager／バックアップサーバ上の機密データに関連する、別の 3 件のセキュリティ問題にも対応している。リリースノートに記載された深刻度は、すべて CVSS v4.0 に基づいている。
- CVE-2026-58069：深刻度 High (CVSS 8.3)：認証済みの Veeam Cloud Connect テナントが、サービス・プロバイダのホスト上にある任意のファイルを読み取れる脆弱性である。Cloud Connect インフラを運用するプロバイダにとって、別のリスクとなる。
- CVE-2025-64392：深刻度 Medium (CVSS 4.8)：Veeam Backup Enterprise Manager に存在する反射型クロスサイト・スクリプティング (XSS) の脆弱性である。被害者が細工されたリンクを開くと、認証済みポータルユーザーのブラウザ上で、攻撃者のスクリプトが実行される。
- CVE-2026-93026：深刻度 Medium (CVSS 6.1)：Backup Viewer ロールを持つユーザーに対して、Enterprise Manager のマスターキーの変更／削除と、バックアップサーバに保存されたウイルス対策ソフトウェアにおける更新用の認証情報の読み取り／上書きを許してしまう脆弱性である。
管理者は、コンソールのメインメニューから「Help > About」を開くことで、インストール済みのビルドを確認できる。Veeam は、サポート対象の既存の 12.3.2 ビルド向けにパッチの ISO／EXE パッケージを提供している。ただし、12.3.0／12.3.1 などの古いリリースからアップグレードする場合は、完全なインストール用 ISO が必要となる。
Enterprise Manager を導入している場合に、Veeam が推奨しているのは、Backup & Replication の更新に進む前に Enterprise Manager をアップデートすることである。更新後には再起動が必要になる場合がある。
Veeam は、公開された修正内容に対するリバースエンジニアリングが、攻撃者により実行される可能性があるとして、速やかなパッチ適用を強く求めている。また、バージョン 12 のサポートが、2027年2月28日に終了することも顧客に注意喚起している。
Veeam 製バックアップ管理ソフトにおける複数のセキュリティ欠陥について解説する記事です。データの復元処理や検証過程における不備に伴い、低権限ユーザーによる遠隔操作／サーバ上のファイル閲覧／管理機能の無効化／任意スクリプトの実行といった不具合が生じる危険性があります。対象となる CVE は CVE-2025-64393／CVE-2026-58069／CVE-2025-64392／CVE-2026-93026 です。対象となる製品は Veeam Backup & Replication (Veeam Backup Server)／Veeam Cloud Connect／Veeam Backup Enterprise Manager です。対応策として修正用パッケージの速やかな適用が求められます。
You must be logged in to post a comment.