Veeam Backup & Replication 13に認可回避―Critical、CVSS 9.1の修正を公開

Veeamは2026年10月27日、Backup & Replication 13の脆弱性CVE-2026-108142を修正した更新を公開しました。認証されていない攻撃者が、継続的データ保護に使うCDP Coordinator Serviceの認可を回避できる問題です。公式評価はCritical、CVSS v4.0は9.1です。

対象はWindows版とVeeam Software Applianceです。影響するのは13.1.1.18以前の13.1系と、13.0.2.29以前の13.0系。Veeamは12.xなどの旧系列はこの問題の対象外と明記しています。製品名だけで判断せず、導入先ごとの系列とビルド番号を照合する必要があります。

修正版は13.1.2のビルド13.1.2.57、または13.0.3のビルド13.0.3.63です。同じ更新には、復元担当者の権限とバックアップ対象NASの内容を制御できる条件で、意図しない場所へファイルを書き込める二つのMediumの問題も含まれます。

公式告知は実悪用の確認を記載していません。管理者は該当する修正版を適用し、適用後のビルドを確認してください。今回の認可回避について公開されている説明は限定的であり、バックアップの消去やデータ流出が実際に起きたとの報告として扱うものではありません。