Acronisは、cPanel、WebHost Manager(WHM)、Plesk向けの自社バックアッププラグインに、悪用されている可能性がある深刻度の高いLinuxローカル権限昇格の脆弱性が存在することを公表しました。
cPanel & WHMおよびPleskは、Webホスティング事業者やサーバー管理者がグラフィカルインターフェースを通じてWebサイトやサーバーを管理するために使用しています。
Acronisのバックアップアドオンは、ホスティング管理パネルと同社のインフラストラクチャを連携させるもので、管理者はcPanelやPleskのインターフェース内からWebサイト、ファイル、データベース、メールボックス、ホスティングアカウントのバックアップと復元を行えるようになります。
この脆弱性は先週末に簡易な勧告として公開されていましたが、同社は本日アップデートを発表し、CVE-2026-87886として識別番号を割り当てるとともに、深刻度スコアを7.8と評価しました。
低権限の攻撃者はCVE-2026-87886を悪用することで、脆弱性のあるLinuxサーバー上で自身の権限レベルを昇格させることが可能であり、これによりユーザーの操作を介さずに機密データへのアクセスや改ざん、システムの機能停止を引き起こす恐れがあります。
CVE-2026-87886に関する詳細な技術情報はまだ公開されていません。これは、システム管理者が提供済みのパッチを適用する時間を確保できるよう、同社が情報公開を控えているためです。
Acronisによれば、この脆弱性が「限定的かつ標的を絞った攻撃」において実際に悪用されていることを確認したとしています。
「この脆弱性の悪用は、cPanel & WHM向けAcronis Backupプラグインを導入している環境を狙った、限定的かつ標的型の攻撃において実際に確認されています」と勧告は警告しています。
BleepingComputerに対する声明の中でAcronisは、この評価が「影響を受けた可能性がある」顧客1社からの単一の報告に基づくものであると説明しています。
CVE-2026-87886の脆弱性は、以下のバージョンの製品に影響します。
- cPanel & WHM向けAcronis Backupプラグイン: バージョン1.9.3.1021より前のビルド(バージョン1.9.3 HF3で修正済み)
- Plesk向けAcronis Backup拡張機能: バージョン1.8.11.638より前のビルド(バージョン1.8.11で修正済み)
同社は特定の侵害指標(IoC)を確認しておらず、この活動がいつ発生したのか、また勧告に記載された権限昇格による影響以外に攻撃者が何を達成したのかについても明らかにしていません。
cPanel & WHMおよびPlesk向けAcronisバックアップ統合機能を利用しているすべてのユーザーは、直ちに提供済みのアップデートを適用することが推奨されます。
