Veeamのバックアップ製品に認証回避の脆弱性、CVSS 9.1

やること

Veeam Backup & Replication はサーバーのバックアップを取る製品です。13系を使っている場合は次のバージョンへ更新してください。Windows 版でも、Veeam Software Appliance でも対象です。

• 13.1系は 13.1.2（build 13.1.2.57）です
• 13.0系は 13.0.3（build 13.0.3.63）です
• 12系など古いバージョンは今回の本体の脆弱性3件の対象外です

ほかの Veeam 製品の修正も出ています。上の表で確かめてください。どの KB にも回避策は載っておらず、対策は修正版への更新です。

何が危ないのか

Veeam は10月27日に CVE-2026-108142 を公表しました。CDP Coordinator Service という部分で、ログインしていない攻撃者が認可の確認を回避できる欠陥です。認可の確認とは、操作をしてよい人かどうかを確かめる処理のことです。CVSS は v4.0 で 9.1、Veeam の評価は Critical です。評価は、ネットワークから届き、権限も利用者の操作も要らないとしたうえで、データの内容の漏えいへの直接の影響はなく、改ざんと停止への影響が高いとしています。攻撃の成立に必要な前提条件は、Veeam の KB に書かれていません。

同時に公表された CVE-2026-108140 と CVE-2026-108141 は、別の種類の欠陥です。Restore Operator（復元の担当者）のロールを持つ認証済みの利用者が、バックアップ済みの NAS 共有の中身も操作できる場合に、バックアップサーバー上の任意の場所へ自分で用意したファイルを書き込めます。CVSS は 5.9 です。KB にはこの2件が同じ文面で載っていて、違いは読み取れません。

公表の文書に悪用の記載はありません。ただし Veeam は、修正の公開後に攻撃者が修正を解析し、未更新の環境を狙うおそれが高いと注意しています。

ほかの製品の欠陥

同じ時期に、Veeam の別の製品にも修正が出ています。

• Backup for Microsoft 365：CVE-2026-106076 は、認証済みの組織移行の接続相手が構成データベースに SQL を注入できる欠陥で、CVSS は 9.0 です。PostgreSQL のサービスアカウントの権限でコードを実行できるとされています。8.5.0.1014 以前の8系が対象で、修正版は 8.6（build 8.6.0.1102）です。同じ KB には CVE-2026-106077（CVSS 8.3）、CVE-2026-106078（CVSS 6.9）、CVE-2025-64394（CVSS 4.3）も載っています。後ろの2件は 8.6.0.1102 以前が対象で、修正版は 8.6 Patch 1（build 8.6.0.5011）です
• Agent for Linux：CVE-2026-105477 は、端末の権限を上げられる欠陥で、CVSS は 7.3 です。Backup & Replication の管理下にあるインストールだけが影響を受けます。13.0系と6系は対象外です
• Management Pack for Microsoft System Center：10月29日に公表されました。CVE-2023-22793 は CVSS 9.3 で、認証なしに Veeam Virtualization Extensions のサービスでコードを実行されるおそれがあります。ほかに CVE-2026-107239（CVSS 8.8）と CVE-2026-107238（CVSS 8.7）があります。9.1 以前の9系が対象で、9系に修正版は出ず、13.1.0.334 へ移ります

対象

上の表のバージョンが対象です。CVE-2026-108140、CVE-2026-108141、CVE-2026-108142 は、13.1.1.18 以前の13.1系と、13.0.2.29 以前の13.0系のすべてのビルドが対象です。Backup for Microsoft 365 と Management Pack の KB は、サポートが終わった版をテストしていないものの、影響を受ける可能性が高いとして、脆弱とみなすよう求めています。