Veeamは、Veeam ONEに存在する複数の脆弱性に対処するセキュリティアップデートを公開しました。この中には、未認証のリモート攻撃者が影響を受けるエージェントホスト上で任意のコードを実行できる可能性がある重大な欠陥も含まれています。
SecurityProducts & Services
この問題はCVE-2026-64633として識別されており、CVSS v4.0スコアは最高値の10.0を記録しています。これは今回のアップデートで対処された脆弱性の中で最も深刻であることを示しています。Veeam ONEバージョン13.0.2.6723、またはバージョン13系のそれ以前のビルドを使用している組織は、直ちにアップデートすることが推奨されています。
Veeam ONEの深刻な脆弱性
これらの脆弱性は、バージョン13.1の一部としてリリースされたVeeam ONEバージョン13.1.0.7034で解消されています。Veeamはこれらの修正について、ナレッジベース記事KB4892（2026年7月29日公開）で文書化しています。
同社は、脆弱性の公表とパッチの提供が脅威アクターによる修正内容のリバースエンジニアリングを促し、Veeam環境を未更新のままにしている組織を標的としたエクスプロイトの開発につながる可能性があると警告しています。
CVE-2026-64633が特に重要である理由は、攻撃者がエージェントホスト上でコード実行を試みる際に認証を必要としない点にあります。
この脆弱性の悪用に成功すると、攻撃者はバックアップインフラの監視、レポート作成、可視化のためにVeeam ONEに依存している環境への足がかりを得てしまう可能性があります。
バックアッププラットフォームがランサムウェア対策における復旧とインシデント対応において果たす重要な役割を踏まえると、セキュリティチームは修正作業を最優先で進めるべきです。
今回の重大なリモートコード実行の問題に加え、このアップデートでは任意のファイル読み取り、ローカル権限昇格、SQLインジェクション、特権ユーザーによる任意のコード実行、レポートデータへの不正アクセスに関連する、その他5件の高・中程度の深刻度の脆弱性にも対処しています。
これらの欠陥の多くはHackerOneを通じて報告されたものであり、1件はVeeamの社内セキュリティテスト中に発見されました。
解消された脆弱性
- CVE-2026-64633 – 深刻度: Critical、CVSS v4.0: 10.0。Veeam ONEエージェントホスト上でリモートかつ未認証でのコード実行を許してしまう。HackerOne経由で報告。
- CVE-2026-58075 – 深刻度: High、CVSS v4.0: 8.7。未認証の攻撃者がホストから任意のファイルを読み取ることを許し、ローカル権限昇格につながる可能性がある。HackerOne経由で報告。
- CVE-2026-58074 – 深刻度: High、CVSS v4.0: 8.6。高い権限を持つユーザーがVeeam ONEサーバー上で任意のコードを実行することを許してしまう。社内テストにより発見。
- CVE-2026-64631 – 深刻度: High、CVSS v4.0: 8.6。低権限のユーザーがSQLインジェクションを行いデータベースの内容を抽出することを許してしまう。HackerOne経由で報告。
- CVE-2026-64634 – 深刻度: High、CVSS v4.0: 8.4。Veeam ONE Reporterサービスのコンテキストへのローカル権限昇格を許してしまう。HackerOne経由で報告。
- CVE-2026-64630 – 深刻度: Medium、CVSS v4.0: 5.3。低権限のユーザーが、共有レポートリンクの本来の範囲を超えてレポート情報を取得することを許してしまう。HackerOne経由で報告。
管理者は、影響を受けるインストール環境を直ちにVeeam ONEバージョン13.1.0.7034にアップグレードすべきです。
さらに、各チームはVeeam ONEサーバーおよびエージェントの露出状況を見直し、不要なネットワークアクセスを制限するとともに、認証やサービスの活動を監視して異常がないか確認し、バックアップ管理インフラを脆弱性管理およびインシデント対応のワークフローに組み込んでおくことが求められます。
Hacking& Cracking
警告：20以上の政府系サイトが企業や市民にマルウェアを配布していました。 攻撃の全容に関する調査レポート を確認し、自組織のリスク露出をチェックしてください。
翻訳元: https://gbhackers.com/critical-veeam-one-flaw/
