バックアップの心臓部に「認証なし」の抜け道——Veeam B&RのCDPコーディネーターで重大脆弱性

今日の深掘りポイント

• 認証バイパスは「最短でバックアップ制御を奪う」道です。攻撃者は復旧計画そのものを無力化し、事業継続の前提を崩しにかかりますです。
• 影響範囲はWindowsデプロイメントとアプライアンス双方に及び、バックアップ基盤の均質性ゆえ横断的に波及しやすいです。業界や国単位の影響把握と優先度付けが必要です。
• メトリクスからは、即時対応と運用に落とし込みやすい要素が際立つ一方、新規性は限定的です。つまり既知の「バックアップ狙い」の戦術が、より短絡的な侵入導線を得た局面と捉えるべきです。
• 補助的に報告されたパス・トラバーサルやローカル特権昇格は、初期侵入後の横展開・防御回避を加速させる「ブースター」になり得ます。セットでのリスク評価が肝要です。
• 優先順位は「外部露出の即時遮断」→「修正ビルドへの更新」→「復旧阻害の検知・抑止の強化」→「資格情報・レプリケーション先の見直し」の順で考えると実務に落ちやすいです。

はじめに

バックアップは最後の防波堤です。そこに「認証なしで入れてしまう」脆弱性が生まれたとき、攻撃者にとっては最短距離で復旧能力を無力化できるまたとない機会になりますです。Veeam Backup & ReplicationにおけるCVE-2026-108142は、CDP（Continuous Data Protection）コーディネーターサービスに対する認証バイパスで、CVSS v4.0で9.1と重大です。Veeamは2026年10月27日にセキュリティアドバイザリを公開し、修正をリリースしています。加えて、中程度のパス・トラバーサルや高深刻度のローカル特権昇格の脆弱性も報告されていますです。

本稿では、事実関係を整理した上で、復旧阻害を主軸にした攻撃シナリオ、MITRE ATT&CKに沿った想定、そして「今日から動ける実務アクション」を提示しますです。

深掘り詳細

事実関係（ベンダー公表情報に基づく）

• 対象製品: Veeam Backup & Replication（WindowsデプロイメントおよびVeeamソフトウェアアプライアンスに影響）です。
• 脆弱性: CVE-2026-108142（CDPコーディネーターサービスに対する認証バイパス）です。
• 深刻度: CVSS v4.0において9.1と評価されています。
• 併記された脆弱性: パス・トラバーサル（中）、ローカル特権昇格（高）です。
• ベンダーは2026年10月27日にセキュリティアドバイザリを公開し、修正を提供しています。管理者は更新適用が必要です。

出典として公開レポートが速報していますが、詳細や修正ビルドの識別は必ずベンダーの一次情報で確認してくださいです。

• 参考: GBHackers – Critical Veeam Backup & Replication Flaw（速報解説）

編集部の視点（なぜ今、なぜ危ないのか）

• バックアップの「制御プレーン」直撃です。CDPはRPO/RTOの根幹を担うため、ここを乗っ取られるとジョブ改ざん、レプリカ破壊、復旧ポイントの消去・劣化など、ビジネス復元の全段を同時に危殆化する力学が働きますです。
• メトリクスから読み解けるのは「行動可能性と即時性の高さ」、そして「既存の攻撃トレンドの延長にある脅威」という位置づけです。バックアップを最優先で叩く戦術は定着しており、認証バイパスはその所要コストを劇的に引き下げますです。
• 併記のパス・トラバーサルと特権昇格は「侵入後の整地」を加速します。例えばバックアップ格納領域へのパストリックや、サービス権限の引き上げにより防御回避・痕跡除去・横展開が容易になりますです。
• 地政学リスクの文脈では、重要インフラや医療・自治体など「復旧時間が人命・公共性に直結する領域」での同時多発的な復旧阻害は、単発のランサム被害を超え、社会機能の連鎖障害に発展し得ますです。

脅威シナリオと影響

以下は編集部の仮説に基づく想定シナリオです。MITRE ATT&CKのテクニックは代表例で、実際の侵害は環境依存で変化しますです。

• シナリオA：外部露出したCDPコーディネーターの直接侵害

  • 初期アクセス: 公開サービス悪用（T1190: Exploit Public-Facing Application）です。
  • 防御回避: バックアップ関連サービス設定の変更（T1562: Impair Defenses）です。
  • 権限昇格・横展開: 併記のローカル特権昇格悪用（T1068: Exploitation for Privilege Escalation）→ハイパーバイザー管理経路や管理セグメントへ横展開（T1021: Remote Services）です。
  • 影響: 復旧ポイントの削除や保持期間の短縮（T1490: Inhibit System Recovery）、レプリカの破壊・暗号化（T1486: Data Encrypted for Impact）です。

• シナリオB：社内侵入後にバックアップ制御を奪取

  • 初期アクセス: フィッシングや端末侵害経由（T1566, T1059など）です。
  • 横展開: 管理ネットワークでのサービス悪用（T1210: Exploitation of Remote Services）です。
  • 資格情報: バックアップ用サービスアカウントの搾取・転用（T1078: Valid Accounts, T1552/T1555）です。
  • 影響: バックアップジョブの改ざん、復旧テストの無効化、監査ログの消去（T1565: Data Manipulation, T1070: Indicator Removal）です。

• シナリオC：二段階の復旧阻害（妨害＋陽動）

  • 先にバックアップとレプリカを静かに劣化させ、数週間後に本番暗号化を実施する持久戦です。
  • 影響: 復旧時に「戻る先が壊れている」事後的破局が発覚し、RPO/RTOが設計値から大幅に逸脱しますです。

影響評価としては、バックアップ基盤の均質な普及と、CDPという中核機能の性質から、単一ベンダーの脆弱性が業界横断で同時多発的に事業継続へ波及するリスクが高いです。バックアップを重要インフラと見なしてきた組織ほど、この種の欠陥に対して「最後の砦の二重化（制御プレーンの冗長化と独立性確保）」を再検討すべき局面です。

セキュリティ担当者のアクション

優先度順に、現場が今日から動かせるチェックリストを提示しますです。

1. 露出点検と一次封じ込め（0～24時間）

• すべてのVeeam B&R/ソフトウェアアプライアンスを資産台帳で洗い出し、CDPコーディネーターが到達可能なネットワーク境界を棚卸ししますです。
• インターネットに直接・間接（NAT/ポートフォワード、踏み台経由）で露出していないかを確認し、外部露出は即時遮断します。管理セグメントからの許可リスト方式に限定しますです。
• 直ちにベンダーが提供する修正ビルドへ更新します。更新までの間はコーディネーターサービスの外部到達を遮断し、運用に支障が出る場合も暫定の時間帯制御や踏み台限定を徹底しますです。

2. 復旧阻害への備え（並行で着手）

• バックアップ・レプリカの保持/削除ポリシー、暗号化設定、ジョブスケジュール、レプリケーション先の変更履歴をレビューし、意図しない短縮や解除がないかを検証しますです。
• イミュータブルリポジトリやオブジェクトロック等の「論理削除耐性」を有効化し、オフライン/オフサイトを含む3-2-1-1-0ルールの遵守状況を点検しますです。
• 復旧演習を前倒しし、「バックアップ自体が改ざん・劣化している前提」での代替導線を検証しますです。

3. ログ・検知の強化（今週中）

• バックアップ関連サービスへの認証・設定変更・ジョブ実行のイベントを集中管理に集約し、以下の振る舞い検知ルールを整備しますです。
  • 管理時間外・想定外ホストからのCDP関連リクエスト急増です。
  • バックアップ保持期間や復旧ポイント数の急激な減少、複数ジョブの一括停止・削除です。
  • バックアップサービスプロセスからの不審なシェル・スクリプト起動や外向き通信です。
  • 監査ログ無効化やログローテーション設定の変更です。
• 既知IOCに依存しない「設定差分監視」「振る舞いベース」中心に据えると未知系にも強くなりますです。

4. 権限と分離の徹底（今月中）

• バックアップ管理者とドメイン/クラウド管理者を職務分掌で分離し、相互代入不能にしますです。
• バックアップ用サービスアカウントの資格情報を全更新し、最小権限・JIT（Just-In-Time）付与と多要素認証を適用しますです。
• バックアップ制御プレーンを業務ネットワークから論理分離し、管理端末は専用端末/VDIに限定しますです。

5. テーブルトップと危機コミュニケーション

• 「復旧時に復旧点が壊れている」シナリオでの意思決定（RTO超過、部分復旧、代替提供）の判断ラインを明文化し、経営・広報・法務を含む合同訓練を行いますです。

6. マイグレーションの知恵

• 単一製品集中のリスクを直視し、制御プレーンの独立性（別系統の復旧導線、読み取り専用/隔離されたカタログ、二系統のレプリカ先）を評価しますです。
• 将来的にはバックアップSaaSやセキュアアプライアンスの「管理面のゼロトラスト化」（強制MFA、接続元固定、強い相互認証）を要件化しますです。

参考情報

• 速報解説: GBHackers – Critical Veeam Backup & Replication Flaw（ベンダー一次情報の確認を強く推奨します）

最後に。今回のメトリクスからは、対策の即効性が高く、現場がすぐに動けるニュースであることが読み解けますです。一方で「またバックアップが狙われた」という既視感は、わたしたちの側の設計原理を磨く余地がまだあるというメッセージでもありますです。制御プレーンの独立性、イミュータビリティ、そして復旧阻害の検知と演習——この三点を、今日のチケットに落として進めていきたいです。