Veeam

Veeamは、ドメインに参加しているバックアップサーバー上でリモートコード実行（RCE）を可能にする重大な「Backup & Replication」のセキュリティ脆弱性を修正するセキュリティアップデートをリリースしました。

この脆弱性（CVE-2026-44963として追跡され、WatchTowerのセキュリティ研究者Sina Kheirkhah氏によって報告された）は、Veeam Backup & Replication (VBR) 12.3.2.4465 およびそれ以前のすべてのバージョン 12 ビルドに影響し、バージョン 12.3.2.4854 で修正されました。

権限の低いドメインユーザーであれば誰でもこの脆弱性を悪用できますが、この欠陥の影響を受けるのはドメインに参加しているVeeam Backup & Replicationのインストール環境に限られます。

image

「認証済みのドメインユーザーによるバックアップサーバー上でのリモートコード実行（RCE）を可能にする脆弱性です」と、Veeamは火曜日のアドバイザリで述べています。「この脆弱性は、バージョン13から導入されたアーキテクチャの変更により、Veeam Backup & Replicationのバージョン13.xビルドには影響しません。」

しかし残念ながら、多くの企業はVeeamのサーバーをWindowsドメインに参加させており、Veeamが長年推奨してきたベストプラクティスを無視しているのが現状です。

現時点で悪用が確認されているという報告はないものの、Veeamは、パッチがリリースされるとすぐに攻撃者がエクスプロイトの開発を開始することが多いと警告した。

「脆弱性とその関連パッチが公開されると、攻撃者はパッチをリバースエンジニアリングし、パッチが適用されていないVeeamソフトウェア環境を悪用しようと試みる可能性が高いことに留意する必要があります」と同社は付け加えた。 「この現実が、すべてのお客様が当社のソフトウェアの最新版を使用し、すべての更新プログラムやパッチを遅滞なくインストールすることの極めて重要な意義を浮き彫りにしています。」

ランサムウェア攻撃の標的となりやすい

ランサムウェア集団は過去において、機密データの窃取、侵害されたネットワーク内での移動、そして被害者のバックアップを削除することで復旧作業を妨害できるため、常にVeeamのバックアップサーバーを標的にしていると述べています。

近年、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、攻撃で積極的に悪用されているとしてVeeam Backup & Replicationの4つの脆弱性を指摘しており、そのすべてがランサムウェア集団によって悪用されている。

例えば、2024年11月、Sophos X-Opsは、Akira、Fog、Fragといった複数のランサムウェアグループが、別の重大なVBRリモートコード実行（RCE）の脆弱性（CVE-2024-40711）を悪用していたと報告した。

金銭目的の脅威グループであるFIN7（Maze、Egregor、Conti、REvil、BlackBastaといったランサムウェアグループと頻繁に連携していた）や、Cubaランサムウェアグループも、VBRのセキュリティ脆弱性を標的とした攻撃に関与していることが確認されています。

Veeamの製品は、フォーチュン500企業の82%、グローバル2,000企業の74%を含む、世界中で55万社以上の顧客に利用されています。