Veeam Backup & Replication にドメインユーザーから RCE 可能な CVE-2026-44963 (CVSS 9.4)

Veeam は 6 月 9 日、データ保護製品 Veeam Backup & Replication の v12 系列に存在する重大 RCE 脆弱性 CVE-2026-44963 (CVSS v4 9.4) を修正したと発表しました。Active Directory ドメインに参加したバックアップサーバーでは、認証済みの一般ドメインユーザーから任意コードを実行可能で、バックアップ基盤の完全乗っ取りに繋がります。

主なポイント

• 影響範囲は Veeam Backup & Replication 12.3.2.4465 以前のすべての v12 ビルド。アーキテクチャ変更が入った v13 系列は影響を受けない
• 修正版は 12.3.2.4854。AD ドメイン参加環境では即時アップグレードが強く推奨される
• 攻撃に必要な特権は「ドメインの一般ユーザー」というハードルの低さで、ランサムウェアアクターによる悪用が懸念される
• 発見者は watchTowr の Sina Kheirkhah 氏。現時点で悪用は確認されていないが、パッチ公開直後から攻撃が始まる可能性をベンダーが警告
• バックアップサーバーは復旧時のラストリゾートとなる重要資産で、ランサムウェア攻撃前段で潰されるケースが増えている。AD 切り離し運用の再検討も論点となる

出典: New Veeam vulnerability exposes backup servers to RCE attacks — BleepingComputer