Acronisは、cPanel & WHM向けBackupプラグインおよびPlesk向けBackup拡張機能について、深刻度の高いローカル権限昇格の脆弱性が限定的かつ標的型の形で実際に悪用されていることを確認したとして、セキュリティアップデートを公開しました。
CVE-2026-87886として追跡されているこの脆弱性は、共用ホスティングやマネージドサーバー環境で使用されるLinuxベースのAcronisバックアップコンポーネントに影響します。Acronisはこの脆弱性にCVSSスコア10点満点中7.8を割り当てており、深刻度は「高」に分類されています。
この問題はCWE-276(デフォルトパーミッションの不備)に分類されます。この種の脆弱性は、機密性の高いファイルやディレクトリ、システムリソースに対して、意図した範囲を超えた広いパーミッションが設定されている場合に発生し得るものです。
影響を受けるAcronisの導入環境では、安全でないファイルパーミッションによって、権限の低いローカルユーザーが本来許可されていないレベルを超えてリソースへアクセスしたり、操作を実行したりできる可能性があります。
CVSSベクターによれば、悪用には攻撃者が対象のLinuxサーバーへ既にローカルアクセス権を持ち、かつ低レベルの権限を保有していることが前提となります。ユーザーの操作を必要としない点が特徴で、初期侵害後の悪用という観点では特に懸念されます。
脅威アクターは、侵害されたホスティングアカウント、脆弱な認証情報、脆弱なWebアプリケーション、Webシェル、あるいは他の攻撃経路を通じて初期アクセスを獲得する可能性があります。その後、脆弱なAcronisコンポーネントを悪用し、基盤となるサーバー上でより高い権限を取得する恐れがあります。
悪用に成功した場合、影響を受けるシステムの機密性、完全性、可用性が損なわれる可能性があります。共用ホスティング環境では、その影響が単一のWebサイトや顧客アカウントにとどまらない可能性もあります。
攻撃者はバックアップデータ、システムファイル、コントロールパネルのリソース、あるいは同一インフラ上でホストされている他の顧客のワークロードにアクセスできるようになるかもしれません。
この問題は、cPanelやPleskを運用するホスティングプロバイダーやマネージドサービスプロバイダーにとって特に重要な意味を持ちます。これらのプラットフォームでは、複数のWebサイト、データベース、メールサービス、顧客環境が単一のLinuxホスト上に集約されているケースが一般的です。
そのため、ローカル権限昇格の脆弱性は、アカウントレベルでの初期侵害による影響を増幅させる可能性があります。
Acronisによれば、悪用が確認されているのは限定的かつ標的型の攻撃に限られるとのことです。ただし、脆弱性情報とパッチが公開されると、攻撃者が開示後に未パッチのシステムを特定しようとするため、より広範なスキャン活動が誘発されることがあります。
同社はcPanel & WHM向けAcronis BackupプラグインについてはバージョンA1.9.3 HF3でこの問題を修正しました。Plesk環境向けには、Acronis Backup拡張機能バージョン1.8.11でこの脆弱性が修正されています。
管理者はAcronisコンポーネントの導入バージョンを直ちに確認し、該当するアップデートを適用する必要があります。ベンダーのアップデート情報でも、今回のリリースが、既に実際の悪用が確認されている深刻度「高」の脆弱性1件に対処するものであることが確認されています。
セキュリティチームは、不正なローカルアクセスの兆候、想定外の権限変更、不審な昇格プロセス、Acronis関連のファイルやディレクトリに関わる異常な変更がないか、サーバーを調査する必要があります。
防御側は、認証ログ、シェルの活動記録、Webシェルに関するアラート、cPanelおよびPleskのアカウントイベント、バックアップへのアクセス記録、機密性の高いシステムパーミッションの変更についても確認しておくべきです。
直ちにパッチを適用できない組織は、信頼できないアカウントのシェルアクセスを制限し、ローカルアクセスの露出を減らし、特権的な操作を注意深く監視するとともに、可能であればバックアップインフラを通常のホスティングワークロードから分離することが望まれます。
脅威調査の効率化と手作業の削減のためにANY.RUNを利用する16,000以上のSOCチームに参加しましょう。チーム向けに詳しく見る
