バックアップ基盤そのものが「未認証で乗っ取れる」状態に #
Veeam Service Provider Console（VSPC）の v9系ビルド全て（9.2.1.33875 以前）に、複数の脆弱性が公表された。中でも深刻なのは CVE-2026-58072 で、未認証の攻撃者が管理サーバ上に任意のファイルを書き込み、リモートコード実行（RCE）まで到達できる。CVE-2026-58073 はエージェントへのなりすましによる認証情報の盗聴、CVE-2026-58071 は管理者セッションの初期段階で API への不正アクセスを許し、CVE-2026-58067 はホストメモリを枯渇させる DoS を引き起こす。修正版は v9.3.0.35057。
「最後の砦」が真っ先に狙われる理由 #
VSPC は MSP（マネージドサービスプロバイダ）が複数顧客のバックアップ環境を一元管理するための製品だ。裏を返せば、ここを一つ突破されれば配下の全顧客のバックアップに触れる"踏み台"になる。Veeam 製品が狙われるのはこれが初めてではない。2024年には Backup & Replication の CVE-2024-40711（CVSS 9.8）が Akira・Fog・Frag 各ランサムウェアに実戦投入され、専用エンドポイント経由で管理者アカウントを勝手に作成する手口が観測された。ランサムウェア攻撃者にとって、暗号化の前にバックアップを破壊・窃取する工程はすでに定番化しており、バックアップ管理基盤の脆弱性は「復旧不能な二重恐喝」に直結する。
対策
該当組織は資産棚卸しの優先度を上げ、v9.3.0.35057 へのアップデートを急ぐべきだ。あわせて管理コンソールをインターネットに直接晒していないか、VPN やゼロトラスト経由に限定できているかも点検したい。
COMMENTS 0
まだコメントはありません。最初のコメントを投稿しよう。