Veeamのバックアップソフトにリモートコード実行の脆弱性、最新版で修正

Veeamは、Backup & Replicationソフトウェアに存在する複数の深刻な脆弱性に対応するセキュリティアップデートを公開しました。これらの脆弱性は、認証済みのユーザーがリモートでコードを実行したり、権限を昇格させたりする可能性があり、過去にはランサムウェア攻撃で悪用された事例も報告されています。対象となるバージョンは12系統および13系統で、最新版への更新が推奨されています。
The Hacker News：Veeam Patches 7 Critical Backup & Replication Flaws Allowing Remote Code Execution

この記事のポイント

影響のあるシステム

Veeam Backup & Replication 12.3.2.4165以前の12系統すべて
Veeam Backup & Replication 12系統および13系統（13.0.1.2067より前のビルド）

推奨される対策

Veeam Backup & Replicationを最新版（12.3.2.4465または13.0.1.2067）に更新する
不要なアカウント権限の見直し、認証済みユーザーのアクセス制限
バックアップサーバーやリポジトリへのアクセスログを確認し、不審な操作がないか監視

上記の対策は、元記事の事実に基づき日本の読者向けに整理したものです。

この記事に出てくる専門用語

CVE-2026-21666 / CVE-2026-21667 / CVE-2026-21669：認証済みユーザーによるBackup Server上でのリモートコード実行脆弱性（CVSS 9.9）
CVE-2026-21668：認証済みユーザーがBackup Repository上で任意ファイル操作可能な脆弱性（CVSS 8.8）
CVE-2026-21672：Windows版Veeam Backup & Replicationでのローカル権限昇格脆弱性（CVSS 8.8）
CVE-2026-21708：Backup ViewerがPostgresユーザーとしてリモートコード実行可能な脆弱性（CVSS 9.9）
CVE-2026-21671：Backup Administrator権限を持つユーザーがHA構成でリモートコード実行可能な脆弱性（CVSS 9.1）

被害シナリオと影響

今回修正された脆弱性は、認証済みユーザーが悪用するとBackup & Replicationサーバー上で任意のコードを実行できるものや、リポジトリ内の任意ファイル操作、ローカル権限昇格を可能にするものです。特にCVE-2026-21666、CVE-2026-21667、CVE-2026-21669、CVE-2026-21708はCVSS 9.9の深刻度で、攻撃が成功した場合、システム全体が乗っ取られる可能性があります。過去には同種の脆弱性を利用したランサムウェア攻撃の事例も報告されており、未対応環境は企業にとって重大なリスクです。

技術的背景と悪用状況

脆弱性の多くは、認証済みユーザー権限を前提にしていますが、特権を持つユーザーやバックアップビューアーでも攻撃が可能です。Veeamの報告によると、攻撃者はパッチが公開された直後にリバースエンジニアリングを行い、未更新システムを狙う可能性があります。特に企業のバックアップ環境は重要データを扱うため、攻撃成功時の影響は甚大であり、運用中のシステムでは即時のアップデートが望まれます。

国内組織が直ちに確認すべき点

日本国内の企業では、まず自社のVeeam Backup & Replicationのバージョンを確認し、12系統および13系統を使用している場合は、今回公開されたパッチを速やかに適用することが重要です。また、認証済みユーザーの権限管理や不要なアクセス権限の見直し、アクセスログの監視も併せて行うことで、脆弱性の悪用リスクを低減できます。バックアップシステムは企業の重要資産であり、早急な対策が推奨されます。

参考文献・記事一覧

The Hacker News

投稿者プロフィール

CyberCrew（サイバークルー）: CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。

■ 情報セキュリティサービス台帳登録事業者

■ セキュリティコンテスト受賞歴
Hack The Box Business CTF 世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10

■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）