Veeamは、Veeam ONEにおける最大深刻度の脆弱性を修正しました。この脆弱性を悪用すると、認証を経ていない攻撃者がエージェントホスト上でリモートからコードを実行できてしまいます。今回の修正では、2026年7月29日にベンダーが公表したこの脆弱性に加え、深刻度が高または中の脆弱性5件も同時に解消されています。
これらの問題はすべてVeeam ONE 13.1.0.7034で解決済みで、脆弱性のあるビルドを稼働させている組織には直ちにパッチを適用するよう強く呼びかけられています。中でも最大の懸念事項であるCVE-2026-64633は、CVSS v4.0スコアで最高値となる10.0を記録しています。
この脆弱性により、リモートかつ未認証の攻撃者が、ユーザー操作や事前アクセスを一切必要とせずにエージェントホスト上で任意のコードを実行できてしまいます。そのため、技術詳細や概念実証(PoC)が公開され次第、自動化された攻撃やワームのような拡散手法の格好の標的になり得ます。
この脆弱性は、VeeamのHackerOneホスト型脆弱性開示プログラム(VDP)を通じて、責任ある形で報告されました。
Veeam ONEはバックアップおよび仮想化環境の監視・レポート用途で広く導入されており、悪用に成功すれば攻撃者がバックアップ基盤への足がかりを得て、データを窃取したり、組織の最後の防衛線に対してランサムウェア展開の準備を進めたりする恐れがあります。
同リリースでは、他に5件の脆弱性も解決されています。
これらの脆弱性はすべてVeeam ONE バージョン13.0.2.6723以前のバージョン13系ビルドに影響します。ただし例外としてCVE-2026-58074は、バグバウンティ経由の報告ではなく社内で発見されたものです。
Veeam ONEのようなバックアップ・監視プラットフォームは、企業インフラの深部に位置し高い権限を持つため、ペイロード展開前に復旧機能を無効化しようとするランサムウェア攻撃者にとって、常に価値の高い標的となっています。
このようなシステムにおける認証不要かつCVSS 10.0のリモートコード実行の脆弱性は、防御側にとってほぼ最悪のシナリオといえます。特にVeeamでは、過去に公開された脆弱性がパッチ公開後まもなくリバースエンジニアリングされ、武器化されてきた経緯があるため、なおさら深刻です。
Veeamはこれらの問題に対する暫定的な回避策を公表していません。つまり、アップグレードのみが確実な対処方法となります。
管理者は速やかにバージョン13.1.0.7034以降へ移行するとともに、信頼できないネットワークに対するVeeam ONEエージェントおよびサーバーコンポーネントの露出状況を見直し、異常なファイルアクセス、不審なSQLクエリのパターン、Veeam ONEに関連する予期しないプロセスの挙動がないかログを監査すべきです。
本稿執筆時点で、この脆弱性が実際に悪用されたという公的な確認はありません。しかし、そのクリティカルな深刻度評価だけを見ても、このパッチ適用を最優先事項として扱う十分な理由になります。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を完全に確保し、SOCを強化してMTTRを削減しましょう
翻訳元: https://cyberpress.org/critical-veeam-one-flaw/
