デルのバックアップストレージ「PowerProtect Data Domain」に、サーバサイドリクエストフォージェリ（SSRF）の脆弱性（CVE-2026-56084）が見つかった。リモートから未認証の攻撃者が悪用できる可能性がある。デルはセキュリティアドバイザリ「DSA-2026-416」で修正版を案内しており、同じアドバイザリでは、CVSS基本値9.8と評価された脆弱性を含む多数の脆弱性もあわせて修正している。
脆弱性の詳細
本脆弱性は、デルのPowerProtect Data Domainに存在するSSRFの脆弱性である。SSRFは、攻撃者が製品の機能を悪用して、製品自身に外部や内部の宛先へ通信させることで、想定しないアクセスや情報取得につながり得るタイプの問題である。
リモートからアクセス可能な未認証の攻撃者が、この脆弱性を悪用できる可能性がある。CVSS v3.1の基本値は、デルの評価で5.8、米国立標準技術研究所（NIST）の評価で5.3（いずれも「警告（Medium）」）で、機密性への影響は「低」とされている。
CVE-2026-56084単体の深刻度は中程度だが、DSA-2026-416には、CVSS基本値9.8と評価された脆弱性（CVE-2026-103780、CVE-2026-86384、CVE-2026-86397、CVE-2026-86400）も含まれている。アドバイザリは10月1日に初版が公開され、10月19日の改訂で対象の脆弱性が追加された。SSRF単体ではなく、アドバイザリ全体として修正版への更新を判断したい。
SSRFは、外部に公開している管理画面やAPIなど、ネットワーク越しに利用される機能を起点に悪用されることがある。攻撃が成立すると、製品がアクセスできる範囲で意図しない通信が発生し得るため、データ保護基盤やバックアップ基盤として運用している環境では、運用影響が大きくなる可能性がある。
影響を受ける製品・バージョン
- デル PowerProtect Data Domain Feature Release 7.7.1.0から8.7まで
- デル PowerProtect Data Domain LTS2024リリース 7.13.1.0から7.13.1.80まで
- デル PowerProtect Data Domain LTS2025リリース 8.3.1.0から8.3.1.40まで
- デル PowerProtect Data Domain LTS2026リリース 8.6.1.0から8.6.1.20まで
推奨される対策
- 修正版への更新：DSA-2026-416に従い、Feature Releaseは8.9.0.0以降、LTS2024は7.13.1.90以降、LTS2025は8.3.1.50以降、LTS2026は8.6.1.30以降へ更新する（脆弱性によって修正版が異なるため、詳細はアドバイザリで確認する）
- 運用上の抑制：管理用インターフェースや関連機能へのアクセス経路を見直し、必要最小限の端末・ネットワークに限定する
- 通信の制御：機器から外部・内部への不要な通信が発生しないよう、ネットワークの出口・入口の通信制御を点検する
- 監視：当該機器からの不審な宛先への通信や、管理系機能への不審なアクセスがないかログを確認する
日本の中小企業が今すぐ取るべき行動
- 最優先：社内にPowerProtect Data Domainを利用している機器があるか、資産台帳・バックアップ担当への聞き取りで確認する
- 次に：運用担当者または保守ベンダーに、DSA-2026-416への対応状況（現在のバージョン、更新の適用計画、影響確認）を確認する
- 並行して：管理画面・管理機能への到達性（社外から到達する構成になっていないか）を確認し、不要な公開があれば遮断する
- 実施後：更新適用の有無を記録し、適用前後で不審な通信やアラートが出ていないかを点検する
CSRIからのアドバイス
同種の脆弱性は、バックアップ装置やストレージのように「止めにくい基盤」ほど後回しにされがちである。担当が限られていたり保守契約に依存していたりすると、更新判断が遅れ、気づかないまま長期間運用される要因になる。
例えるなら、社外の人が「会社の中から電話をかけてほしい」と機械に頼み、その機械が言われた先へ電話してしまうようなものだ。つまり、外部の操作で機器が勝手に別の場所へ通信し、想定外の情報や機能に触れるきっかけになり得る。
まずPowerProtect Data Domainを使っている機器が社内にあるかを確認し、保守先にDSA-2026-416の修正版への更新手順と適用可否を確認する。次に管理画面が社外から到達できないかを点検し、必要最小限の経路に絞る。あわせて機器からの不審な通信がないかログを確認する。
参照: Dell「DSA-2026-416: Security Update for Dell PowerProtect Data Domain Multiple Vulnerabilities」／NVD「CVE-2026-56084」