Veeam ONE の脆弱性｜CVE-2026-64633 のリスクと対処

はじめに

2026 年 7 月 29 日、Veeam は KB4892 を公開し、Veeam ONE で修正された 6 件の脆弱性を公表しました。最も深刻な CVE-2026-64633 は CVSS v4.0 で 10.0、認証を必要としないリモートコード実行と説明されています。修正は Veeam ONE 13.1.0.7034 で提供されています。

バックアップ基盤の監視製品は、社内向けに閉じた構成で運用されることが多く、境界機器ほど優先度を上げにくい対象です。一方で Veeam ONE は、Veeam Backup & Replication（以下 VBR）や仮想基盤へ接続するための資格情報を集約して保持しています。「監視製品だから影響は限定的」という前提で優先度を判断すると、実際の到達範囲を過小評価する可能性があります。

結論として、6 件はいずれも Veeam ONE 13.0.2.6723 およびそれ以前の v13 ビルドが対象で、修正は 13.1.0.7034 への更新のみです。Veeam は緩和策や回避策を提示していません。加えて、最も深刻な CVE-2026-64633 の実行先は Veeam ONE サーバー本体ではなくエージェントが稼働するホストとされており、既定の構成ではそれが VBR サーバーにあたります。監視サーバー単体の問題として扱うのではなく、バックアップ基盤側の影響として優先度を判断することをおすすめします。

なお Veeam は KB4892 の中で、脆弱性とパッチが公開された後は、攻撃者がパッチのリバースエンジニアリングによって未適用環境を狙う可能性が高いと述べています。深刻な脆弱性が公開されてから実際に悪用が観測されるまでの期間が短くなっている点については、CISA の KEV カタログへ登録された事例を扱った関連記事『VeloCloud Orchestrator の脆弱性への対処』もあわせて参照してください。

修正された 6 件の脆弱性と深刻度の読み方

KB4892 で公表されたのは、Critical 1 件、High 4 件、Medium 1 件の計 6 件です。まず一覧で全体像を整理します。

6 件のうち 5 件が HackerOne 経由の報告で、1 件が Veeam 社内テストによる発見です。技術的な詳細（脆弱なコンポーネント名、実行コンテキスト、再現条件）は公開されていません。本記事でもこの点は推測で補わず、公開情報から確認できる範囲で整理します。

CVE-2026-64633: 認証不要のリモートコード実行（CVSS 10.0）

6 件の中で唯一の Critical であり、対応の優先度を決める要素です。KB4892 の記述は次のとおりです。

参考: KB4892 Vulnerabilities Resolved in Veeam ONE 13.1
“A vulnerability allowing remote unauthenticated code execution on the agent host.”
（エージェントホスト上でのリモート・認証不要のコード実行を許す脆弱性）
https://www.veeam.com/kb4892

ここで注目すべきは 実行先が「agent host」と明記されている点 です。Veeam ONE のエージェント（v13 では Veeam Analytics Service のクライアントモード）は、VBR サーバーを Veeam ONE に接続した時点で既定でそのサーバー上へ展開されます。つまり、この脆弱性が想定する着弾点は監視サーバーではなく、バックアップサーバー側になり得ます。到達範囲の詳細は次のセクションで整理します。

CVSS v4.0 のベクターは次のとおり公表されています。

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

前半の Exploitability メトリクスは、ネットワーク経由（AV:N）、攻撃条件の複雑さが低い（AC:L）、前提条件なし（AT:N）、権限不要（PR:N）、利用者の操作不要（UI:N）を示します。攻撃者側に要求される前提がない評価です。

スコアが 10.0 に達している理由は後半にあります。VC/VI/VA は脆弱なシステム自身に対する機密性・完全性・可用性の影響で、いずれも High です。加えて SC/SI/SA は Subsequent System（後続システム） に対する影響を表す CVSS v4.0 の指標で、これも 3 つとも High と評価されています。すなわち、脆弱なコンポーネントの侵害が、そのコンポーネントの境界を越えて他のシステムへ波及し得るという評価が、ベンダー自身によって付与されています。

残る 5 件の位置づけと、連鎖の観点

High 4 件と Medium 1 件は、単体で見れば前提条件があるものが中心です。ただし、実務上の優先度判断では単体のスコアより組み合わせを見ておく価値があります。

CVE-2026-58075（8.7）

ベクターは AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N で、認証不要かつネットワーク経由という点は CVE-2026-64633 と同じです。影響は機密性のみですが、KB4892 は「ローカル権限昇格にさらに利用され得る」と補足しています。初期の情報取得手段として位置づけられます。

CVE-2026-64634（8.4）

AV:L でローカルアクセスが前提ですが、昇格先が Reporter サービスのコンテキストとされています。Reporter サービスが動作する権限については次セクションで扱いますが、この昇格の意味を理解するには Veeam ONE のサービスアカウント要件を押さえておく必要があります。

CVE-2026-58074（8.6）

高権限ユーザーが前提のため、外部からの初期侵入経路にはなりにくい一方、既に管理者権限を持つアカウントが侵害された場合の影響拡大要因になります。

CVE-2026-64631（8.6）

低権限ユーザーによる SQL インジェクションで、SC/SI/SA が H と評価されています。Veeam ONE のデータベースには構成情報が保持されるため、抽出対象の内容が後続の影響につながる評価と読めます。

CVE-2026-64630（5.3）

共有レポートリンクのスコープを越えたデータ取得で、6 件の中では影響が限定的です。

「認証不要で入る手段（58075）」と「ローカルで昇格する手段（64634）」が同一の修正で同時に公表されている点 は、優先度を判断するうえで押さえておきたい構図です。個別の CVSS スコアだけを基準にすると、High 以下の項目を後回しにする判断になりがちですが、6 件すべてが単一のビルド更新で解消される以上、切り分けて対応する実益はほとんどありません。

侵害された場合にどこまで到達し得るか

Veeam ONE は監視製品でありながら、VBR・仮想基盤・ゲスト OS へ接続するための資格情報を集約して保持しています。このため、影響の見積もりは「監視画面から何が見えるか」ではなく、「どの権限で動き、どの資格情報を持っているか」から組み立てる必要があります。

はじめに前提を明確にしておきます。Veeam は 6 件の脆弱性について、脆弱なコンポーネント名、実行コンテキスト、再現条件といった技術的詳細を公開していません。 以下は公式ドキュメントに記載された Veeam ONE のアーキテクチャと権限要件から導いた「設計上の到達可能範囲」であり、実際に悪用手順が確認されたものではありません。自環境の構成に置き換えて読み替えていただく前提の整理です。

着弾点の整理: エージェントホストと Veeam ONE サーバー

前セクションで触れたとおり、CVE-2026-64633 の実行先はエージェントホストと記載されています。Veeam ONE のアーキテクチャ上、この「エージェント」に相当するのは v13 では Veeam Analytics Service のクライアントモードで、VBR サーバーを Veeam ONE に接続した際に既定でそのサーバー上へ展開されます。v12 系では Veeam ONE agent という名称で、同様に VBR サーバー側へ配置されます。

したがって、想定すべき着弾点は 2 つに分かれます。

エージェントホスト

既定構成では VBR サーバー。CVE-2026-64633 が該当します。

Veeam ONE サーバー本体

Monitoring Service、Reporting Service、Web Services、Veeam Analytics Service などが稼働します。CVE-2026-58074、CVE-2026-64631、CVE-2026-64634、CVE-2026-64630 が主にこちら側です。CVE-2026-58075 はホストからの任意ファイル読み取りとされており、どちらのホストを指すかは公開情報からは断定できません。

「Veeam ONE を踏み台にしてバックアップ基盤へ横展開できるか」という問いに対しては、最も深刻な CVE については横展開の段階を経ずに VBR サーバー側が直接の対象になり得る、というのが公開情報から読み取れる構図です。 監視サーバーの隔離度合いを根拠に優先度を下げる判断は、この点で成り立ちにくくなります。

各コンポーネントが動作する権限

昇格系の CVE の意味を測るには、各サービスがどの権限で動くかを押さえておく必要があります。Veeam ONE のサービスアカウントについて、公式ドキュメントは次のように定めています。

参考: Veeam ONE Service Account – Veeam ONE User Guide
“The service account must have Local Administrator and Log on as a service permissions”
（サービスアカウントは、ローカル管理者権限とサービスとしてログオンする権限を持つ必要があります）
https://helpcenter.veeam.com/docs/one/userguide/service_account.html

同ドキュメントでは、インストール時に Local System アカウントをサービスアカウントとして指定することはできず、インストール後に Local System へ変更する構成は可能とされています。

ここから読み取れるのは、Veeam ONE のサービス群は、Veeam ONE サーバー上で管理者相当の権限で動作している という点です。CVE-2026-64634 が示す「Reporter サービスのコンテキストへのローカル権限昇格」は、この権限への昇格を意味することになります。低権限のローカルアクセスを起点とした場合でも、昇格先はサーバー上の管理者相当であり、その先で資格情報の保管領域へ手が届く構成である点を織り込んで判断することをおすすめします。

Veeam ONE が保持している資格情報の棚卸し

到達範囲を見積もるうえで中心になるのが、この一覧です。公式ドキュメントの Permissions セクションに基づき、Veeam ONE が接続のために保持または要求する資格情報を整理します。

VBR 側については、v13 では接続に使うユーザーを Service Account タイプとして作成し、Veeam Backup Administrator ロールを付与する運用が案内されています。バックアップ管理者相当の権限を持つ資格情報を、監視製品側が保持している構成になります。

この表が示すのは、Veeam ONE が「監視情報の集約点」であると同時に「バックアップ基盤・仮想基盤・ゲスト OS への資格情報の集約点」でもあるという点です。 監視の網羅性を高めるほど、保持される資格情報の範囲も広がる構造になっており、この点は製品の設計そのものに由来します。

想定される到達経路と、遮断できる箇所

上記を踏まえ、確認しておく価値のある経路を 3 つに整理します。繰り返しになりますが、実際の悪用可否は公開情報からは判断できません。あくまで設計上の到達可能性としてご覧ください。

経路 A: エージェントホスト（VBR サーバー）での直接実行

CVE-2026-64633 が該当します。この場合、Veeam ONE 側の資格情報を経由するまでもなく、VBR サーバー上でのコード実行が起点になります。VBR サーバーはリポジトリへの接続権限を自ら持つため、影響はバックアップデータの可用性・完全性に直結します。CVSS ベクターで SC/SI/SA がすべて High と評価されている点とも整合します。

経路 B: Veeam ONE サーバー側の侵害から、保持資格情報を経由した拡大

Veeam ONE サーバー上で管理者相当の権限を取られた場合、上表の資格情報が影響範囲に入ります。到達先は VBR、vCenter または Hyper-V、そしてゲスト OS 資格情報を設定している場合は個々の VM に及びます。

経路 C: 低権限の Web クライアント利用者を起点とした昇格

CVE-2026-64631（低権限ユーザーによる SQL インジェクション）と CVE-2026-64630（共有レポートリンクの範囲外データ取得）は、Veeam ONE の Web クライアントへアクセスできる立場を前提とします。読み取り専用ユーザーを広めに払い出している環境では、この前提が満たされやすくなります。

遮断できる箇所

更新の適用が最優先であることは前提としたうえで、構成側で影響を狭められる箇所を挙げます。

1. アカウントの分離

Veeam ONE が VBR 接続に使うアカウントと、管理者が日常的に使う VBR 管理アカウントを分けます。Veeam ONE 用アカウントには、公式ドキュメントが要求する範囲を超えた権限を与えない運用が有効です。

2. ネットワークの分離

Veeam ONE サーバー、VBR サーバー、リポジトリの間の通信を、公式ドキュメントの Ports に記載された必要ポートに限定します。エージェントが VBR サーバー上で動作する以上、この経路の制御は残る防御層になります。

3. リポジトリ側の独立した防御

資格情報が集約される構造を前提にすると、最終的にバックアップデータを守るのはリポジトリ側の設定です。イミュータブル設定やハードンドリポジトリの採用、リポジトリ管理権限の分離が該当します。設計の考え方については関連記事『ランサムウェア対策としてのバックアップ設計』もあわせて参照してください。

4. Web クライアントの露出制限と権限の棚卸し

Veeam ONE の Web クライアントを業務ネットワーク全体へ公開しない構成とし、読み取り専用ユーザーを含めたアカウントの棚卸しを行います。Veeam ONE には多要素認証の設定項目も用意されています。

5. 認証イベントの監視

Veeam ONE 13.0.1 では、VBR のサインイン活動（成功・失敗の双方）を収集し、傾向や急増をアラームとレポートに反映する機能が追加されています。更新後にこの機能を有効化しておくと、資格情報の悪用を検知する材料になります。

影響を受けるバージョンと自環境のビルド確認

対象範囲と KB の Product 欄との差異

KB4892 の Issue Details は、対象を Veeam ONE 13.0.2.6723 およびそれ以前のすべての v13 ビルド と記載しています。一方、同 KB のヘッダーにある Product 欄には「Veeam ONE | 12 | 12.1 | 12.2 | 12.3 | 13」と、v12 系も並んでいます。

この 2 つの記述には差があり、v12 系が今回の 6 件の影響を受けるかどうかは、公開情報からは断定できません。Veeam は KB4892 の中で v12 系向けの個別の修正ビルドを案内しておらず、Solution セクションで示されているのは 13.1.0.7034 のみです。

実務上の判断としては、次の整理が現実的です。

v13 系を運用中の場合

13.1.0.7034 未満であれば対象です。

v12 系を運用中の場合

影響の有無にかかわらず、今回の修正が反映されたビルドは 13.1.0.7034 のみであるため、更新先は同じになります。Product 欄に v12 系が含まれている以上、影響がないと見なす根拠も乏しく、更新計画の対象に含めておくことをおすすめします。

Product 欄の表記については、Veeam の公式見解を確認できていません。判断に迷う場合は、Veeam サポートケースで自環境のビルドを提示して確認する方法が確実です。

インストール済みビルドの確認方法

自環境のビルド番号は、Veeam ONE の画面上で確認できます。

参考: KB4762 Release Information for Veeam ONE 13 and Updates
“The installed build number can be found in the Veeam ONE Main Menu”
（インストール済みのビルド番号は Veeam ONE のメインメニューで確認できます）
https://www.veeam.com/kb4762

具体的な手順は次のとおりです。

1. Veeam ONE のメインメニュー（≡）を開きます。
2. Help > About を選択します。
3. 表示されたビルド番号を、13.1.0.7034 と照合します。

複数台構成（Veeam ONE Server、Web Services、Client を分離した構成）の場合、コンポーネントごとにビルドが異なる状態になり得ます。過去のリリースでは、パッチ適用によって Web Client 側の表示ビルドのみが変わり、Veeam ONE Client 側は従前のビルドを表示し続ける事例が KB4762 に記載されています。表示箇所によって値が異なる可能性を前提に確認することをおすすめします。

Veeam ONE 13.1.0.7034 への更新手順と事前準備

事前準備

Get-FileHash -Algorithm SHA256 .\VeeamONE_13.1.0.7034_20260723.iso

更新手順の流れ

Veeam ONE 13 User Guide の Upgrading セクションでは、更新ウィザードが次の流れで進む構成が示されています。

1. スプラッシュウィンドウの起動
2. コンポーネントの選択
3. ライセンス条項への同意
4. 更新対象コンポーネントの確認
5. ライセンスの指定
6. サービスアカウント資格情報の指定
7. システム構成チェックの実行
8. レポートデータベースの選択
9. 接続ポートの指定
10. Analytics Service エージェントの更新
11. 更新の実行
12. 既定の証明書の変更
13. Hyper-V VM 向けのゲスト OS 資格情報の指定
14. 利用可能な更新の適用

参考: Upgrading to Veeam ONE 13 – Veeam ONE User Guide
https://helpcenter.veeam.com/docs/one/userguide/upgrade.html

手順 10 のエージェント更新は、今回の対応において特に重要です。 CVE-2026-64633 の対象がエージェントホストである以上、Veeam ONE サーバー側のコンポーネントを更新しただけでは、VBR サーバー上に配置されたエージェントが旧バージョンのまま残る可能性があります。ウィザード内でこのステップを飛ばさないこと、および更新完了後にエージェント側のバージョンを個別に確認することをおすすめします。

なお、各画面の詳細な選択肢は環境によって異なります。実行前に上記の公式ドキュメントで自環境に該当する構成（All-in-One か Custom か）の手順を確認することをおすすめします。

更新後の確認と、更新までの暫定的なリスク低減

更新後の確認

適用後は、次の順で確認します。

更新までの暫定的なリスク低減

KB4892 では、緩和策や回避策は提示されていません。恒久的な対処は 13.1.0.7034 への更新のみです。 検証や変更管理の都合ですぐに適用できない場合に、影響を狭めるために取り得る選択肢を挙げます。いずれも脆弱性そのものを解消するものではない点にご留意ください。

通信経路の限定

Veeam ONE サーバーおよび VBR サーバーへのアクセス元を、運用に必要な管理セグメントに限定します。CVE-2026-64633 と CVE-2026-58075 はいずれも AV:N、すなわちネットワーク経由での到達を前提とした評価であるため、到達可能な範囲を狭めることには意味があります。

Web クライアントの公開範囲の見直し

Veeam ONE の Web クライアントを業務ネットワーク全体から到達可能にしている場合、アクセス元の限定を検討します。低権限ユーザーを前提とする CVE-2026-64631 と CVE-2026-64630 に対して有効です。

アカウントの棚卸し

読み取り専用を含めた Veeam ONE のユーザーを棚卸しし、不要なアカウントを整理します。

リポジトリ側の防御状態の確認

イミュータブル設定の適用範囲と、リポジトリ管理権限の分離状況を確認します。仮に上流が侵害された場合でも、バックアップデータの完全性を保つ最後の層になります。

まとめ

KB4892 で公表された 6 件の脆弱性は、Veeam ONE 13.0.2.6723 およびそれ以前の v13 ビルドが対象で、修正は 13.1.0.7034 への更新のみです。公式の緩和策は提示されていません。判断のうえで見落としやすいのは、最も深刻な CVE-2026-64633 の着弾点が監視サーバー本体ではなく、エージェントが稼働するホスト、すなわち既定構成では VBR サーバーであるという点です。監視製品の脆弱性としてではなく、バックアップ基盤側の影響として優先度を判断することをおすすめします。

• 6 件のうち CVE-2026-64633 は認証不要で CVSS 10.0 の評価
• 最も深刻な脆弱性の着弾点はエージェントが稼働するホスト
• 既定構成ではエージェントは VBR サーバー上に配置される
• Veeam ONE は VBR・仮想基盤・ゲスト OS の資格情報を集約
• 公式の緩和策はなく 13.1.0.7034 への更新が恒久的な対処
• 更新ウィザードでの Analytics Service エージェント更新の確認
• 適用まではアクセス元の限定とリポジトリ側の防御で影響を縮小

以上、最後までお読みいただきありがとうございました。