CVE-2026-87886｜Acronis 連携機能の影響確認と更新手順

はじめに

Acronis は 2026 年 9 月、cPanel & WHM と Plesk 向けのバックアップ連携機能に存在するローカル権限昇格の脆弱性 CVE-2026-87886 を公表しました。cPanel & WHM 向けプラグインでは限定的な標的型攻撃での悪用が報告されており、CISA は 2026 年 9 月 16 日に Known Exploited Vulnerabilities（KEV）カタログへ追加しています。

一方で、影響を受けるのは Acronis 製品全般や cPanel / Plesk 本体ではなく、Linux 上で動作する特定の連携コンポーネントに限られます。更新先によっては保護エージェントや Plesk 本体のバージョン条件も異なるため、単に「最新版へ更新」するだけでは判断材料が不足します。

結論として、対象は Acronis Backup plugin for cPanel & WHM（1.9.3.1021 未満）と Acronis Backup extension for Plesk（1.8.11.638 未満）の Linux 版です。該当する場合は、更新候補と前提条件を確認したうえで修正版へ更新することを推奨します。事業者が管理するサーバーでは、利用者が直接更新するのではなく、事業者へ対応状況を確認します。

CVE-2026-87886 の対象製品と悪用状況

CVE-2026-87886 は、不適切なファイルパーミッション（CWE-276）に起因するローカル権限昇格の脆弱性です。Acronis の Security Advisory SEC-10986 では、CVSS v3.0 のスコアを 7.8（High）としています。

影響を受ける製品と修正版

Advisory とリリースノートを照合した対象範囲は次のとおりです。表内のバージョンはすべて Acronis の連携コンポーネント自体のものであり、cPanel & WHM や Plesk 本体のバージョンではありません。

Acronis Cyber Protect のエージェント単体や、Acronis 連携機能を導入していない cPanel & WHM／Plesk サーバーは、この Advisory の対象として記載されていません。

攻撃に必要な条件

Advisory の CVSS ベクターは CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H です。各要素の意味は次のとおりです。

攻撃元区分（AV:L）

対象サーバー上でのローカルアクセスが前提です。認証不要のリモート攻撃ではありません。

必要な特権（PR:L）

低い権限のアカウントを保有している攻撃者が対象です。

ユーザー操作（UI:N）

管理者などの操作を介さずに悪用できる評価です。

影響（C:H / I:H / A:H）

権限昇格に成功した場合、機密性・完全性・可用性のいずれにも大きな影響が及ぶ評価です。

脆弱性の技術詳細は、公開時点で Acronis から示されていません。本記事での考察として、共有ホスティングのように複数の利用者がシェルやアプリケーション経由でサーバー上の実行権限を持ちうる環境では、侵害されたアカウントが権限昇格の起点になる可能性があるため、優先度を高めて確認することをおすすめします。

Acronis が報告した悪用範囲

Acronis は SEC-10986 の説明で、cPanel & WHM 向けプラグインの導入環境に対する限定的な標的型攻撃で悪用を検出したとしています。Plesk 向け拡張機能は脆弱性の影響範囲に含まれますが、Advisory は Plesk 環境での悪用を記載していません。出典: Acronis Security Advisory SEC-10986

BleepingComputer の報道によると、Acronis はこの評価が「影響を受けた可能性のある顧客」1 件からの報告にもとづくと説明しています。攻撃の時期や攻撃者の目的は公表されていません。

CISA KEV の掲載情報

CISA の KEV カタログには、「Acronis Backup Incorrect Default Permissions Vulnerability」として cPanel & WHM 向けプラグインと Plesk 向け拡張機能の両方を対象に掲載されています。KEV の掲載は CVE 単位であり、Plesk 環境での悪用を示すものではありません。

BOD 26-04 は米国の連邦文民行政機関（FCEB）を対象とした拘束的運用指令のため、対応期限とトリアージ要件は民間企業に直接適用されるものではありませんが、優先度判断の目安として参考になります。出典: CISA Known Exploited Vulnerabilities Catalog

自社管理サーバーでの影響確認手順

自社で root 権限を持つサーバーでは、次の順序で確認すると対象判定と更新先の選択を一度に進められます。

rpm -q acronis-backup-cpanel

dpkg -s acronis-backup-cpanel

plesk bin extension --list

更新先の選び方と更新手順

脆弱性が修正されたビルドであることと、そのビルドを自環境へ適用できることは別の条件です。製品ごとに、更新候補と前提条件を照合してから適用します。

Acronis cPanel プラグインの更新先

cPanel & WHM 向けプラグインの公式リリースノートには、2026 年 9 月 11 日付で 2 つのビルドが掲載されています。

参考: Acronis Backup plugin for cPanel and WHM Release Notes（Version 1.9.3 HF3）
“requires Acronis Cyber Cloud and the protection agent to be updated to version C26.02”
（Acronis Cyber Cloud と保護エージェントを C26.02 へ更新する必要があります）
https://www.acronis.com/en-us/support/updates/changes.html?p=41411

1.9.3、1.9.3 HF1、HF2 もリリースノート上は C26.02 が前提のため、1.9.3 系を利用中の環境は同じ条件で HF3 を適用できる構成です。1.9.2 HF2 以前（前提は C25.08 以前）を利用中の場合は、先に保護エージェントが C26.02 に対応しているかを確認します。C26.08 の保護エージェントを用意できない環境では、1.9.3 HF3 が更新先になります。

Acronis の統合ガイドに記載された更新コマンドはバージョンを指定せず、登録済みリポジトリで提供されている最新版を適用します。統合ガイドでは、1.9.3 HF3 を選んで入手する方法を確認できませんでした。候補が 1.9.4 で C26.08 を満たせない場合は、Acronis サポートへ HF3 の入手方法を確認します。

Acronis cPanel プラグインの更新手順

yum check-update acronis-backup-cpanel

apt-cache policy acronis-backup-cpanel

yum update acronis-backup-cpanel

sudo apt upgrade acronis-backup-cpanel

sudo apt-get --simulate install --only-upgrade acronis-backup-cpanel

Acronis の統合ガイドでは、パッケージのダウングレードは公式にサポートされないと記載されています。前提条件を満たさないバージョンを適用すると単純な切り戻しができないため、手順 2 の照合を省略しないことをおすすめします。

出典: Acronis Backup plugin for cPanel & WHM（統合ガイド）、DNF Command Reference

Acronis Plesk 拡張機能の更新手順

Plesk 向け拡張機能の修正版は 1.8.11（1.8.11.638）です。1.8.11 は Plesk 18.0.51 以降でのみ提供されるため、Plesk 本体がそれより古い場合は、先に Plesk 本体の更新計画が必要になります。

参考: Acronis Backup extension for Plesk Release Notes（Version 1.8.11）
“This update is available for Plesk versions of level 18.0.51 and newer.”
（この更新は Plesk 18.0.51 以降で利用できます）
https://www.acronis.com/en-us/support/updates/changes.html?p=40884

1.8.9 以前のリリースノートでは対応 Plesk を 17.8.11 Update 35 以降としており、1.8.10 から条件が引き上げられています。Plesk の拡張機能カタログページには異なる要件が表示される場合があるため、リリースノートの記載を基準に確認することをおすすめします。また、リリースノート上の 1.8.11 の公開日は 2026 年 6 月 3 日で、セキュリティ更新情報（UPD-2609-efb0-50b2）の公開はそれより後です。自動更新を有効にしている環境では、すでに 1.8.11 が適用されている可能性があります。

Acronis の統合ガイドでは、Plesk 管理画面の「Extensions」→「Updates」から更新する方法が案内されています。自動更新が無効な場合は「Check Now」で更新を確認し、Plesk 本体が 18.0.51 以降であることを確認してから「Update」で適用します。適用後は、影響確認手順の手順 3 と同じ方法で 1.8.11.638 以上になっていることを確認します。出典: Acronis Backup extension for Plesk（統合ガイド）

更新後のバックアップ実行・データ取り出しの確認

以下は公式の要件ではなく、運用上の確認例です。

• オンデマンドバックアップ（Plesk では「Run now」）を実行し、Acronis の管理コンソールで成功を確認します。
• ファイルやデータベースダンプの「Download」で、バックアップからデータを取り出せることを確認します。
• 「Recover」は原本の場所へ上書き復元する操作のため、本番環境での動作確認には使用しないことをおすすめします。

Download で確認できるのはデータの取り出しまでであり、復元後に利用可能な状態になることの確認ではありません。実際の復元試験が必要な場合は、隔離した検証環境などで別途計画することをおすすめします。取り出したアーカイブはホームディレクトリなどに保存されるため、確認後の削除とディスク容量にも注意します。

レンタルサーバー・マネージドサービス利用時の確認項目

サーバーの OS やコントロールパネルを事業者が管理している場合、Acronis 連携機能の更新は通常、事業者側の作業です。利用者が cPanel や Plesk の画面で Acronis Backup のバックアップ・復元機能を使えている場合は、連携機能が導入されている可能性があるため、事業者へ次の点を確認します。

1. 契約中のサーバーで Acronis Backup plugin for cPanel & WHM または Acronis Backup extension for Plesk を利用しているか。
2. 導入済みのバージョンとビルド、および修正版（cPanel 版は 1.9.3.1021 以上、Plesk 版は 1.8.11.638 以上）への更新状況。
3. 未対応の場合の対応予定日。
4. 更新に伴い利用者側で必要な操作や、バックアップ・復元機能の停止などサービスへの影響があるか。

事業者から「Acronis を利用している」とだけ回答があった場合は、対象が連携プラグイン・拡張機能であるかを確認します。サーバーの保護エージェントのみを利用する構成は、Advisory の対象製品として記載されていません。

VPS や専用サーバーのように利用者が root 権限を持つ契約では、事業者が提供したテンプレートで導入されたプラグインでも、更新責任が利用者側にある場合があります。契約上の管理範囲もあわせて確認することをおすすめします。

侵害有無の確認で注意すること

修正版への更新は今後の悪用を防ぐ対策であり、更新前に侵害されていたかどうかの確認とは別の作業です。公開時点で、Acronis の公式情報に専用の侵害の痕跡（IoC）や調査手順は示されていません。BleepingComputer の報道でも、Acronis は具体的な IoC を特定していないとされています。

このため、一般的なログ確認で不審な記録が見つからなかったとしても、侵害がなかったとは結論付けられません。cPanel & WHM 向けプラグインの影響範囲のバージョンを運用していた環境、特に不審な権限変更や想定外のプロセスなどの兆候がある環境では、Acronis サポートやインシデント対応の専門部署・事業者へ相談し、調査方針を決めることをおすすめします。Acronis が IoC や技術詳細を追加公開した場合は、Advisory の更新を確認します。

まとめ

CVE-2026-87886 は、Acronis の cPanel & WHM 向けプラグインと Plesk 向け拡張機能に限定したローカル権限昇格の脆弱性です。対象判定ではバージョンとビルドを合わせて確認し、更新候補と前提条件を照合してから修正版を適用することが対応の中心になります。

• 対象は Linux 版の Acronis 連携プラグインと拡張機能のみ
• cPanel 版は 1.9.3.1021、Plesk 版は 1.8.11.638 が修正境界です。
• 悪用報告は cPanel & WHM 向けプラグインの導入環境に限られます。
• cPanel 版の 1.9.3 は複数ビルドがあり、HF3 の確認が必要です。
• 1.9.4 は C26.08、1.8.11 は Plesk 18.0.51 以降が前提です。
• 更新前に候補バージョンと変更範囲を確認します。
• 公式 IoC は未公開のため、更新と侵害調査は分けて判断します。

以上、最後までお読みいただきありがとうございました。