JPCERT/CCは、複数のVeeam製品に脆弱性があると公表している。これらの脆弱性は、バージョンアップまたはパッチの適用によって解消可能とされており、バックアップ基盤の侵害やバックアップサーバ上での任意コード実行などにつながるおそれがある。詳細な影響範囲や技術的内容は、Veeamが提供する情報を確認する必要がある。
脆弱性の詳細
JPCERT/CCのWeekly Report 2026-09-02号では、「複数のVeeam製品に脆弱性」があることが整理されている。本件は週次レポートの一項目として、Veeamが公開しているナレッジベース記事（例：Veeamのサポートサイト上のKB4905やKB4902など）を情報源とし、バージョンアップまたはパッチ適用により問題が解決する旨が示されている。
JPCERT/CCによると、本件に含まれる各脆弱性のCVE番号、CVSSスコア、攻撃に必要な条件（ネットワーク経由か、認証が必要か等）といった詳細は、JPCERT/CCのWeekly Reportから参照されているVeeam側のナレッジベース記事やアドバイザリで確認する必要がある。一般的に、バックアップ/レプリケーション製品は社内の重要サーバに対して広範な権限を持つことが多く、認証済みユーザーによるバックアップサーバ上でのリモートコード実行などが可能となる脆弱性が悪用された場合、バックアップデータだけでなく他の重要サーバへも被害が拡大し得る点に留意が必要だとJPCERT/CCは注意喚起している。
注意: 本記事はJPCERT/CCがWeekly Report 2026-09-02号で示した「複数のVeeam製品に脆弱性」という項目の内容を踏まえたものであり、個別のCVE番号・CVSSスコア・技術的詳細の列挙は、JPCERT/CCの当該項目および参照先として挙げられているVeeam公式のナレッジベース記事・セキュリティアドバイザリに明記されている情報を確認のうえ反映する必要がある。現時点で本記事では、個別のCVE番号やCVSSスコア等の詳細は取り上げていないため、詳細は現時点で不明とする。
影響を受ける製品・バージョン
- JPCERT/CCは「複数のVeeam製品」が影響を受けると公表している。具体的な製品名（例：Veeam Backup & Replication など）や影響を受けるバージョン範囲については、Weekly Report 2026-09-02号から参照されているVeeam公式のナレッジベース記事（KB4905、KB4902等）および各種アドバイザリで確認する必要がある。現時点で本記事では、影響製品の詳細な一覧は掲載しておらず、詳細は現時点で不明とする。
推奨される対策
- JPCERT/CCは、Veeamが提供する修正プログラムや更新版へのバージョンアップまたはパッチの適用を行うよう呼びかけている。具体的には、各ナレッジベース記事で示されている修正済みバージョンへ更新することが推奨される。
- 運用上すぐに更新できない場合は、JPCERT/CCが示す参照情報およびVeeam公式の情報に従い、暫定的な回避策（機能制限、設定変更、アクセス制御の強化など）の有無を確認し、適用可能な対策を検討する。
- バックアップ管理サーバは高権限になりやすく、侵害された場合の影響が大きいため、管理用ネットワークの分離や管理画面へのアクセス制限、インターネットからの直接アクセス禁止など、露出を最小化する運用を徹底する。
日本の中小企業が今すぐ取るべき行動
- 最優先: 社内で利用しているVeeam製品（バックアップ/レプリケーション/管理コンソール等）の有無と稼働箇所を棚卸しし、どのサーバでどのバージョンが動作しているかを把握する。
- 該当する場合、現在のバージョンと更新可否（保守契約の有無、メンテナンス枠、停止可能時間）を確認し、Veeamが推奨する修正バージョンへの更新計画を立てる。
- ベンダーや保守会社に対して、JPCERT/CCのWeekly ReportおよびVeeam公式情報に基づく影響範囲の確認と、アップデート手順・停止時間見積もりの提示を依頼する。
- バックアップ管理サーバへの外部公開の有無、管理ポートの開放状況、管理者アカウントの棚卸しを実施し、不要な経路を閉じるとともに、多要素認証や厳格なアクセス制御を導入するなど、攻撃面を可能な限り縮小する。
CSRIからの現場アドバイス
実際のペネトレーションテストでは、バックアップ製品の管理サーバが「停止できない基幹」として更新が先送りされ、古いバージョンのまま長期間残っているケースをよく目にする。診断報告書で繰り返し指摘されるのが、管理画面への到達性が広く開かれていることと、高権限サービスがバックアップサーバ上に集中していることである。
例えるなら、社内の金庫の鍵をまとめて管理する部屋の扉に、古い鍵穴が付いたままのようなものだ。つまり、ここを突破されるとバックアップだけでなく、他の重要サーバにも手が届く可能性があるということになる。
まず、Veeam製品が動いているサーバとバージョンを確認し、次に保守先へ更新版の適用手順と停止時間の見積りを依頼してほしい。合わせて今週中に、管理画面へ到達できる端末・ネットワークを必要最小限に絞る設定を実施し、バックアップ基盤を狙う攻撃に備えた防御態勢を整えることが望ましい。