Veeam Management PackのCVE-2023-22793はCritical―未認証RCEを13.1で修正

Veeamは2026年10月29日、Management Pack for Microsoft System CenterのCVE-2023-22793を公表しました。公式評価はCritical（緊急）、CVSS v4.0は9.3です。認証されていないリモート攻撃者が、Virtualization Extensionsサービスで任意のコードを実行できる問題を13.1で修正しています。

影響するのは9.1と、それ以前の9系ビルドです。Veeam Backup & Replication 13との互換性パッチを適用した構成も含まれます。サポート終了版は検証されていませんが、Veeamは影響する可能性が高いと説明しています。

修正版は13.1のビルド13.1.0.334です。9系には修正を提供しないため、9系のままパッチを探すのではなく、13.1へのアップグレードを計画してください。この更新は、Collectorに関するHigh評価の脆弱性2件も修正します。

確認すべき製品はManagement Packであり、別製品のBackup & Replicationを更新しただけでは対応になりません。更新後はManagement Packのビルド番号を確認します。公式告知は実悪用の確認を記載しておらず、CVE番号に含まれる2023を今回の公表年として扱うこともできません。