Veeam Service Provider Consoleに重大な脆弱性、CVE-2026-58073など4件を修正|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月06日更新日時: 2026年08月06日

Veeamは2026年8月4日、Veeam Service Provider Console 9.3で修正された複数の脆弱性を公開しました。特にCVE-2026-58073は、認証されていない攻撃者が管理エージェントになりすまし、そのエージェントの認証情報を取得できる可能性がある脆弱性で、CVSS v4.0の基本値は9.5と評価されています。Veeam Service Provider ConsoleはサービスプロバイダーやMSPが複数環境のバックアップ運用を集中管理する製品であり、未更新のまま外部から到達可能な状態にしている場合は、優先度を上げて確認すべき内容です。

サマリー

Veeam Service Provider Console 9.2.1.33875およびそれ以前のバージョン9系に、重大2件・高リスク2件の脆弱性が公表されました。
CVE-2026-58073は認証不要で管理エージェントを偽装し、エージェントの認証情報を取得できる可能性があります。
CVE-2026-58072は管理サーバー上で任意ファイル書き込みが可能となり、リモートコード実行につながるおそれがあります。
修正版はVeeam Service Provider Console 9.3.0.35057です。Veeam公式KBでは実際の悪用有無は明記されていません。
サービスプロバイダーやMSPは、コンソールの到達範囲、管理ポータルの公開状況、管理エージェントの認証情報の扱いを確認する必要があります。

整理表

CVE番号	CVSS基本値	脆弱性の種別	影響を受けるバージョン	修正版	実際の悪用状況
CVE-2026-58073	9.5 Critical	管理エージェントのなりすまし、認証情報取得	Veeam Service Provider Console 9.2.1.33875およびそれ以前のバージョン9系	Veeam Service Provider Console 9.3.0.35057	Veeam公式KBでは悪用有無の記載なし。本稿作成時点の公開情報では実悪用として扱う根拠は確認できませんでした。
CVE-2026-58072	9.0 Critical	任意ファイル書き込み、リモートコード実行につながる可能性	Veeam Service Provider Console 9.2.1.33875およびそれ以前のバージョン9系	Veeam Service Provider Console 9.3.0.35057	Veeam公式KBでは悪用有無の記載なし。本稿作成時点の公開情報では実悪用として扱う根拠は確認できませんでした。
CVE-2026-58067	8.7 High	ホストメモリ枯渇によるサービス拒否	Veeam Service Provider Console 9.2.1.33875およびそれ以前のバージョン9系	Veeam Service Provider Console 9.3.0.35057	Veeam公式KBでは悪用有無の記載なし。
CVE-2026-58071	8.2 High	管理者セッション開始直後の短時間におけるプロキシされたアプライアンスAPIへのアクセス	Veeam Service Provider Console 9.2.1.33875およびそれ以前のバージョン9系	Veeam Service Provider Console 9.3.0.35057	Veeam公式KBでは悪用有無の記載なし。

何が起きたか

Veeamが公開したKB4893では、Veeam Service Provider Console 9.3.0.35057で4件の脆弱性が修正されたことが説明されています。対象はVeeam Service Provider Console 9.2.1.33875およびそれ以前のバージョン9系です。

今回の中心になるのは、CVE-2026-58073とCVE-2026-58072です。CVE-2026-58073は、認証されていない攻撃者が管理エージェントになりすまし、そのエージェントの認証情報を取得できる可能性がある脆弱性です。VSPCの管理エージェントは、管理対象のバックアップ環境とコンソールをつなぐ位置にあるため、単なる情報漏えいでは済まず、後続の侵害や横展開の起点になり得ます。

CVE-2026-58072は、管理サーバー上で任意のファイル書き込みが可能となり、リモートコード実行につながる可能性がある脆弱性です。こちらはCVSS v4.0ベクトル上、権限要件がPRとされており、認証不要のCVE-2026-58073とは前提条件が異なります。海外の二次記事では両方を認証不要と読める説明もありますが、一次ソースであるVeeamの公式KBではCVE-2026-58072のベクトルにPRが記載されている点は切り分けて見るべきです。

Veeam Service Provider Consoleが狙われた場合の影響

Veeam Service Provider Consoleは、サービスプロバイダーやMSPが顧客環境のバックアップ運用を集中管理するための製品です。管理コンソール側で障害や侵害が起きると、単一のテナントだけでなく、複数の管理対象環境に影響が及ぶ可能性があります。

バックアップ製品は、ランサムウェア攻撃でも優先的に狙われやすい領域です。攻撃者は暗号化の前にバックアップを削除したり、復旧経路を潰したり、管理者権限を奪って侵害範囲を広げようとします。過去にもVeeam Backup & Replicationを狙うランサムウェア攻撃が発生や、Veeamの脆弱性(CVE-2024-40711)をランサムウェア AkiraとFogが悪用で取り上げたように、Veeam関連製品の脆弱性は攻撃者の関心を集めやすい領域です。

今回のCVE-2026-58073は、管理エージェントの認証情報取得につながる点が特に厄介です。認証情報が奪われた場合、ネットワーク上の別システムへの接続や管理操作に悪用されるおそれがあります。MSPやホスティング事業者のように複数顧客を一つの運用基盤で管理している環境では、影響範囲の把握に時間がかかるケースも想定されます。

CVE-2026-58072との組み合わせに注意

CVE-2026-58072は、管理サーバー上の任意ファイル書き込みにより、リモートコード実行につながる可能性がある脆弱性です。Veeamの公式KBでは詳細な攻撃手順や再現条件は示されていません。これは、防御側に必要な情報を出しつつ、未更新環境への攻撃再現を助長しないための一般的な開示姿勢と考えられます。

運用現場で注意したいのは、単体のCVSS値だけで優先順位を落とさないことです。CVE-2026-58073のような認証情報取得系の脆弱性と、CVE-2026-58072のようなファイル書き込み系の脆弱性が同じ製品で同時に公開された場合、攻撃者は複数の弱点を組み合わせて侵害経路を作る可能性があります。実際の攻撃コードやペイロードは公表されていませんが、バックアップ管理サーバーを中心にした権限の連鎖は、ランサムウェア対策の観点でも軽視できません。

Veeam Backup & Replicationに複数の脆弱性 12系と13系で緊急修正(CVE-2026-21666,CVE-2026-21667,CVE-2026-21668)でも触れたように、バックアップ基盤の脆弱性対応は通常の業務アプリよりも慎重な検証が必要です。一方で、検証待ちのまま長期間放置すると、攻撃者にパッチ差分を解析されるリスクが上がります。

影響を受けるバージョンと修正版

Veeam公式KBによると、影響を受けるのはVeeam Service Provider Console 9.2.1.33875およびそれ以前のバージョン9系です。修正版はVeeam Service Provider Console 9.3.0.35057で、Veeamのリリース履歴では2026年7月29日に公開されたビルドとして記載されています。

VeeamのKB4856では、9.3.0.35057でCVE-2026-58073、CVE-2026-58072、CVE-2026-58067、CVE-2026-58071が修正されたことに加え、複数のサードパーティライブラリ更新も示されています。脆弱性の修正だけでなく、依存ライブラリの更新も含まれるため、アップデート後は通常の動作確認に加え、管理エージェント、ポータル、API連携、通知、監視連携に影響が出ていないかを確認するのが現実的です。

注意したいのは、VSPCのアップデートが単体サーバーの更新だけで終わらない場合がある点です。管理対象のVeeam Backup & Replication、Veeam Agent、Veeam Cloud Connectなどと連携している環境では、バージョン互換性や管理エージェントの状態確認まで含めて作業計画を作る必要があります。

実際の悪用状況

VeeamのKB4893本文では、今回の4件について実際の悪用有無は明記されていません。SecurityOnlineの記事では、実際の悪用や公開PoCは確認されていないと報じられていますが、記事化にあたっては一次ソースであるVeeam公式KBに悪用なしの明記がない点を分けて扱っています。

CISAのKnown Exploited Vulnerabilities Catalogについても、本稿作成時点でCVE-2026-58073などが既知悪用脆弱性として確認できる情報は見当たりませんでした。ただし、CISA KEVに掲載されていないことは安全性を保証するものではありません。Veeam自身もセキュリティ修正の公開後、攻撃者がパッチを解析して未更新環境を狙う可能性に触れており、公開後の初動対応が重要になります。

情報システム部門への示唆

自組織または委託先がVeeam Service Provider Consoleを利用している場合、最初に確認すべきなのはVSPCサーバーのビルド番号です。9.2.1.33875以前のバージョン9系であれば、Veeam Service Provider Console 9.3.0.35057への更新計画を早急に組む必要があります。サービスプロバイダーからバックアップ運用の提供を受けている企業は、自社でVSPCを直接運用していなくても、委託先に更新状況と外部公開範囲の確認を依頼すべきです。

管理ポータルやAPIエンドポイントがインターネットから到達可能な構成になっている場合は、アップデートまでの暫定策としてアクセス元制限を強化してください。VPN、ゼロトラストアクセス、管理用IPアドレスの固定、管理者MFA、不要な公開ポートの閉鎖を組み合わせるだけでも、実際の攻撃面は大きく変わります。

CVE-2026-58073では管理エージェントの認証情報取得が問題になるため、アップデート後も認証情報のローテーションを検討する価値があります。特に、管理エージェントやサービスアカウントに広い権限を与えている環境では、最小権限化、監査ログの確認、異常な接続元やエージェント登録の有無を点検してください。

バックアップ基盤は、障害時やランサムウェア被害時の最後の復旧手段です。平時の利便性だけを優先して管理コンソールを広く公開していると、攻撃者にとっても便利な入口になります。今回のVSPCの脆弱性は、バックアップ管理基盤を通常のSaaS管理画面と同じ感覚で扱ってはいけないことを改めて示しています。