CVE-2026-108142: 重大な Veeam Backup & Replication 認証バイパス

Veeamは、Veeam Backup & Replication 13に影響を与える重大な認可バイパス脆弱性であるCVE-2026-108142を修正するセキュリティアップデートをリリースしました。この欠陥により、認証されていないリモート攻撃者がVeeam CDPコーディネータサービスの関連する認可制御をバイパスすることが可能になります。

この脆弱性はCVSS v4.0で9.1のスコアを持ち、WindowsベースのVeeam Backup & Replication展開とVeeamソフトウェアアプライアンスの両方に影響を与えます。Veeamは2026年10月27日にこの問題をセキュリティ勧告KB4948の一部として公開しました。

バックアップインフラは回復データが含まれ、しばしばプロダクションシステムに特権接続を持つため、特に敏感なセキュリティ対象です。したがって、中央バックアップコンポーネントに影響を与える認可の弱さは、ベンダーが公に完全な悪用チェーンを文書化していない場合でも、即時の注意を要します。

VeeamのCVSSベクトルは、ネットワークベースの悪用、低攻撃の複雑さ、特権不要、ユーザー対話不要を指摘しています。ただし、ベクトルは追加の攻撃要件が必要であることも明示しています。Veeamはそれらの前提条件を公に説明していません。

この脆弱性はVeeam Backup & Replication 13.1.1.18および13.1ブランチのすべての以前のビルド、およびバージョン13.0.2.29と13.0のすべての以前のビルドに影響を与えます。Veeamは、バージョン12.xのような古いリリースはこの特定の欠陥の影響を受けないと明示しています。

CVE-2026-108142の検出に関して、セキュリティチームは、脆弱なBackup & Replicationインストールの特定を優先し、CDPコーディネータサービスに関連する予期しない活動、無許可の構成変更、疑わしいバックアップインフラの改ざん、および信頼できないシステムからのネットワーク接続を監視する必要があります。

SOC Primeのユーザーは、ネットワーク、エンドポイント、アイデンティティ、アプリケーションのテレメトリを行動ベースの検出コンテンツと相関させることによって、脆弱性の悪用と侵害後の活動への可視性を強化できます。

クリック 検出を探る 関連する検出コンテンツとハンティングロジックにアクセスするには。CVE-2026-108142を検出するために、防御者は脆弱性のインベントリをVeeamサービス、管理活動、システム変更、およびバックアップインフラへのネットワークアクセスの監視と組み合わせるべきです。

営業に連絡

CVE-2026-108142の分析

脆弱性は、連続データ保護操作を調整する責任を持つVeeam Backup & ReplicationのコンポーネントであるVeeam CDPコーディネータサービスにあります。

Veeamのドキュメントによると、CDPコーディネータサービスはバックアップサーバー上で実行され、VMware vCenterと通信し、CDPタスクを割り当て、連続データ保護に関わるインフラコンポーネントを管理し、レプリケーションおよびデータ転送操作を調整します。

これにより、サービス周辺の認可制御が特に重要になります。バックアップサーバーはバックアップインフラの構成および管理の核心部として機能し、CDPコーディネータサービスはレプリケーションに関与するインフラコンポーネントと対話できます。

CVE-2026-108142に関する詳細は、公開された開示では意図的に制限されています。

Veeamは、認証されていない攻撃者がCDPコーディネータサービスの認可をバイパスできる脆弱性として説明していますが、脆弱なリクエスト、影響を受ける機能、プロトコル対話、悪用シーケンス、または根本的な実装の欠陥を開示していません。

CVEはCWE-636として分類され、セキュリティメカニズムがエラーや予期しない状態に直面したときに、アクセスを拒否するのではなく、より安全でない状態に陥る「フェイルオープン」状態としてよく説明されます。

ただし、CWEの分類だけでVeeamのソフトウェアでの具体的な実装エラーを推測するべきではありません。ベンダーは、認可のバイパスがどのように引き起こされるのかを正確に判断するための十分な技術情報を公開していません。

CVSS v4.0ベクトルは次のとおりです：

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:H/VA:H/SC:N/SI:H/SA:H

これが示すのは：

• ネットワークベースの攻撃ベクトル
• 低攻撃の複雑さ
• 追加の攻撃要件あり
• 特権不要
• ユーザーの関与不要
• 直接の機密性への影響識別されず
• 高い完全性と可用性への影響
• 後続のシステムに及ぼす高い完全性と可用性への影響

その最終的な区別は重要です。Veeamのスコアリングは、成功した悪用が脆弱なバックアップシステムだけでなく、その下流システムにも影響を与える可能性があることを示唆しています。しかし、ベンダーは認可バイパス後に攻撃者が具体的にどのような操作を行うことができるかを説明していません。

Veeamまたは提供された報告書はいずれも、脆弱性が任意のリモートコード実行を提供することを示していません。

CybersecurityNewsは特に、この勧告が攻撃シーケンスを説明せず、欠陥がRCEを有効にすると述べていないことを指摘しています。CyberPressも同様に、Veeamが悪用ステップを公開していない、もしくはコード実行を要求していないと述べています。

したがって、欠陥が直接シェルアクセス、SYSTEM権限、資格情報の盗難、または任意のコマンド実行を提供するという主張は、現在のところ利用可能な証拠を超えています。

CVE-2026-108142は、Veeam Backup & Replication 13の2つのブランチに影響を与えます：

• バージョン13.1.1.18およびそれ以前の13.1ビルド
• バージョン13.0.2.29およびそれ以前の13.0ビルド

この脆弱性はWindowsベースのVeeam Backup & ReplicationインストールとVeeamソフトウェアアプライアンスの展開の両方に適用されます。

Veeam Backup & Replication 12.xやベンダーによって特定されたその他の古いリリースは、この特定の問題の影響を受けません。

組織は、大まかなバージョン番号に基づくのではなく、正確なビルドを確認する必要があります。

たとえば、バージョン13.1を報告するインストールは、ビルド13.1.2.57以上にアップグレードされない限り、依然として脆弱である可能性があります。

管理者は、インストール済みのBackup & Replicationビルドを製品インターフェースから確認し、Veeamのリリース情報と比較できます。

執筆時点では、Veeamまたは提供されたセキュリティレポートによる公開されたCVE-2026-108142のPoC（概念実証）は文書化されていません。独自の公開脆弱性トラッキングも、オープンに利用可能な概念実証の悪用が報告されていないと伝えています。

Veeamもまた、この脆弱性の活発な悪用が報告されていません。

この区別は特に重要です。なぜなら、Veeamのインフラは、過去の攻撃で他の脆弱性を通じて狙われてきたからです。CybersecurityNewsは、ランサムウェアの運用でのCVE-2024-40711の以前の悪用を指摘していますが、その歴史的な活動は新たに開示された認可バイパスの悪用を示すものではありません。

2026年10月29日現在、新しいCVEは現在利用可能な脆弱性追跡データによれば、CISAの既知の悪用脆弱性カタログに記載されていません。

したがって、この脆弱性に関連する悪意のあるIPアドレス、ドメイン、ハッシュ、悪用ペイロード、または既知の攻撃者のインフラなど、特定のキャンペーン特有のCVE-2026-108142のIOCは確認されていません。

セキュリティチームは代わりに露出評価と行動監視に焦点を当てるべきです。

潜在的な調査ポイントには以下が含まれます：

• 予期しないシステムからのVeeamバックアップインフラへのネットワーク接続
• CDPコーディネータサービスとの不意の相互作用
• バックアップまたはCDPの構成への無許可の変更
• 管理上の説明なく作成または変更されたバックアップジョブ
• 予期しないサービスの再起動または停止
• レプリケーションポリシーの変更
• 承認された管理活動に対応しない保護されたインフラの変更
• バックアップサーバー上の疑わしいアカウントや特権の変更
• Veeamインフラストラクチャから発生する予期しないプロセスやネットワーク活動
• ユーザーネットワークやインターネット接続システムからのバックアップ管理サービスへの接続試行

これらの行動は脆弱性固有の指標ではありません。それらは、技術的な悪用の詳細が入手できない間に、重要なバックアップサーバーに関与する疑わしい活動を発見するのに役立つ防御的なハンティングの機会です。

組織はまた、Veeamインフラ周辺のネットワークセグメンテーションを見直すべきです。

バックアップサーバーは、通常のワークステーション、ゲスト環境、または信頼されていないネットワークセグメントから広範にアクセス可能であるべきではありません。Veeamサービスとの通信が必要なシステムのみが関連するインターフェースおよびポートにアクセスすることが許可されるべきです。

これにより、パッチが展開されている間に脆弱なサービスとやり取りできるシステムの数が減少します。

10月のセキュリティアップデートでは、他に3つの脆弱性も修正されています。

CVE-2026-108140およびCVE-2026-108141は、CVSS 5.9で評価された中程度の重大度の相対パストラバーサル脆弱性です。悪用には、バックアップされたNAS共有の内容を管理する認証済みのリストアオペレーターが必要です。この条件下では、攻撃者が管理するファイルをバックアップサーバーの任意の場所に書き込むことができます。

別の問題、CVE-2026-105477は、Backup & Replicationによって管理されるVeeam Agent for Linuxインストールに影響を与えます。高い重大度のこの脆弱性は、ローカル特権昇格を可能にし、Veeam Agent for Linux 13.1.2、ビルド13.1.2.11で修正されています。

したがって、10月の更新を適用する組織は、重大な認可バイパスだけでなく、Veeam環境全体を見直すべきです。

CVE-2026-108142の緩和

主要な修正は、修正済みのVeeam Backup & Replicationリリースをインストールすることです。

13.1ブランチの場合、アップグレード先：

Veeam Backup & Replication 13.1.2 — ビルド13.1.2.57

13.0ブランチの場合、アップグレード先：

Veeam Backup & Replication 13.0.3 — ビルド13.0.3.63

これらのビルドは、認可の脆弱性に対するベンダーによる修正を含んでいます。

推奨される CVE-2026-108142の緩和 プロセスは、まずすべてのVeeam Backup & Replicationサーバーを特定し、その正確なインストール済みビルドを確認することから始めるべきです。

セキュリティチームは、広範なネットワークセグメントにアクセス可能で、重要な仮想化インフラストラクチャに接続され、高価値のプロダクションワークロードをサポートしているバックアップサーバーのアップグレードを優先する必要があります。

公開されたCVSSベクトルに従えば、悪用には認証されたアカウントが不要であるため、パッチはセキュリティの優先事項として扱われるべきです。

Veeamは、固定ソフトウェアをインストールせずに脆弱性を排除する完全な回避策をKB4948で公開していません。

即時のアップグレードが運用上不可能な場合、組織はパッチを完了するまでの間、デプスインディフェンス対策を適用するべきです：

• ネットワークセグメンテーションを使用してVeeamバックアップサーバーへのアクセスを制限する。
• 正当にアクセスが必要なシステムからの接続のみを許可する。
• ワークステーションとユーザーVLANからの不要な通信をブロックする。
• バックアップインフラをインターネットに直接さらさない。
• 運用上適切な場合、ホストベースのファイアウォール制限を適用する。
• 予期しないシステムからのVeeamサービスへのアクセスを監視する。
• 管理およびバックアップ構成の変更を確認する。
• バックアップサーバーでの異常なプロセスの実行や外向き接続を監視する。
• 強力な認証と最小特権を使用して管理資格情報を保護する。
• 可能であれば不変またはオフラインのバックアップコピーを維持する。

これらの制御は攻撃表面を減少させますが、ベンダーの更新に代替するものとは考えられるべきではありません。

Veeamのリリース情報は、13.1.2.57はセキュリティの脆弱性とその他の報告された問題を扱う累積パッチであると述べています。このパッチはVeeamのアップデートメカニズムを通じて配布可能で、更新されたインストールメディアを使用してインストールすることも可能です。

アップグレード後、管理者は期待される固定ビルドが稼働していることを確認するべきです。

また、バックアップおよびレプリケーションジョブが正常に動作していることを確認し、復元の機能をテストする必要があります。バックアップインフラへのセキュリティ更新は、復元性が検証されるまで完全なものと考えてはいけません。

現在、一般に公開されている脆弱性固有の悪用指標がないため、組織はパッチを当てる前に脆弱なままであったシステムの履歴活動を見直すべきです。

重要なソースには以下が含まれます：

• Veeamサービスログ
• Windowsイベントログ
• Veeamの構成とジョブ履歴
• バックアップサーバーからのEDRテレメトリ
• ファイアウォールとネットワークフローログ
• 認証記録
• 管理活動
• vCenterおよび仮想化管理ログ

セキュリティチームは、ジョブ、リポジトリ、レプリケーション構成、保護ポリシー、インフラストラクチャコンポーネント、または管理アカウントに対する予期しない変更を調査する必要があります。

バックアップの整合性も確認されるべきです。

攻撃者は、より広範な侵入中に回復を妨害するためにしばしばバックアップシステムを標的にします。公の報告書がこのCVEのランサムウェアの悪用を立証していないとしても、疑わしい活動を調査している組織は、復元ポイント、不変コピー、およびオフラインバックアップが変更されていないことを確認すべきです。

侵害を除外できない場合、インシデントレスポンダは、浄化済みのバックアップコピーを保護してから、修復を行うべきです。

バックアップインフラからアクセス可能な資格情報も見直し、無許可のアクセスを示す証拠がある場合は回転させる必要があります。

Backup & Replicationによって管理されるVeeam Agent for Linuxを実行している組織は、CVE-2026-105477を修正するために、脆弱なエージェントをバージョン13.1.2、ビルド13.1.2.11に個別にアップグレードする必要があります。

重大な認可バイパスとその他の3つの脆弱性は、HackerOneを通じてVeeamに報告されました。Veeamは、これら4つの問題の修正を2026年10月27日にリリースしました。

免責事項： 検出コンテンツはすべてのCVEに対して利用可能でない場合があります。SOC Primeプラットフォームで現在のカバレッジを確認してください。関連する検出がまだ利用可能でない場合は、新しい脅威インテリジェンスおよび検出コンテンツが継続的に追加されているので、再度確認してください。