AcronisのcPanel／WHM向けバックアッププラグインに脆弱性 CVE-2026-87886　限定的な標的型攻撃で実悪用を確認

Acronisは2026年9月15日、Linux向け「Acronis Backup plugin for cPanel & WHM」と「Acronis Backup extension for Plesk」に存在するローカル権限昇格の脆弱性「CVE-2026-87886」の詳細を公表しました。

脆弱性は安全でないファイル権限に起因し、低権限のローカルユーザーが権限を昇格できる可能性があります。AcronisによるCVSS v3.0評価は7.8（High）です。

Acronisは、cPanel／WHM向けプラグインについて「限定的な標的型攻撃」で実際の悪用を確認したとしています。ただし、同社がBleepingComputerに説明した内容では、この評価は「影響を受けた可能性がある顧客1社からの報告」に基づくものです。

修正版はcPanel／WHM向けが1.9.3 HF3（build 1021）以降、Plesk向けが1.8.11（build 638）以降です。cPanel／WHM向けには同日、さらに新しい1.9.4（build 1022）も公開されています。

CVE-2026-87886のサマリー

確認できている内容：

• Acronisは2026年9月15日、CVE-2026-87886の詳細を公表しました。
• 脆弱性は「安全でないファイル権限によるローカル権限昇格」です。
• CVSS v3.0は7.8（High）です。
• 攻撃には対象Linuxサーバー上で低権限のアクセス権を持っていることが前提です。
• cPanel／WHM向け「Acronis Backup plugin for cPanel & WHM」が影響を受けます。
• Plesk向け「Acronis Backup extension for Plesk」も同じCVEの影響対象です。
• cPanel／WHM向けは1.9.3 HF3 build 1021で修正されています。
• Plesk向けは1.8.11 build 638で修正されています。
• AcronisはcPanel／WHM向け環境に対する実悪用を確認したとしています。
• 実悪用についてAcronisは「limited, targeted attacks」と説明しています。
• BleepingComputerへのAcronisの説明では、実悪用の評価は影響を受けた可能性のある顧客1社からの報告に基づいています。
• Acronisは具体的なIOC（侵害指標）を公表していません。
• 攻撃者が権限昇格後に何を実行したか、侵害がいつ発生したかは公表されていません。
• 9月16日時点でCISA Known Exploited Vulnerabilities（KEV）カタログへの掲載は確認できませんでした。

項目	内容
CVE	CVE-2026-87886
Acronis Advisory	SEC-10986
公表日	2026年9月15日
脆弱性	安全でないファイル権限によるローカル権限昇格
CVSS v3.0	7.8（High）
対象OS	Linux
対象製品1	Acronis Backup plugin for cPanel & WHM
修正版1	1.9.3 HF3 build 1021以降
対象製品2	Acronis Backup extension for Plesk
修正版2	1.8.11 build 638以降
実悪用	cPanel／WHM向けで確認
実悪用の規模	Acronisは「限定的な標的型攻撃」と説明
Pleskでの実悪用	公表されていません
IOC	Acronisは具体的なIOCを公表していません
CISA KEV	9月16日時点で掲載確認できず

低権限ユーザーからLinuxサーバー上で権限昇格

AcronisはCVE-2026-87886を「Local privilege escalation due to insecure file permissions」と説明しています。

つまり、プラグインまたは拡張機能に関連するファイル権限の設定が不十分で、すでに対象サーバー上で低権限アクセスを持つ攻撃者が、より高い権限へ昇格できる可能性があります。

CVSS v3.0は7.8で、攻撃経路はLocal、攻撃複雑度はLow、必要権限はLow、ユーザー操作は不要と評価されています。

このため、インターネット上から認証なしで直接悪用できるリモートコード実行脆弱性とは異なります。

攻撃者はまず、ホスティングアカウント、シェルアカウント、別の脆弱性、不正取得した認証情報など何らかの方法でサーバー上の低権限アクセスを確保する必要があります。

ただし、権限昇格に成功すると、サーバー上の機密データへのアクセス、設定変更、サービス停止などにつながる可能性があります。

本記事では、具体的な権限昇格手順や悪用方法は掲載しません。

cPanel／WHM向けで実悪用を確認

AcronisはSEC-10986で、cPanel／WHM向けプラグインに対する実悪用を確認したとしています。

同社の表現は、

「limited, targeted attacks against Acronis Backup plugin for cPanel & WHM deployments」

で、広範囲な無差別攻撃ではなく、限定的な標的型攻撃として説明されています。

BleepingComputerに対するAcronisの説明では、この評価は「potentially affected（影響を受けた可能性がある）」顧客1社からの報告をもとにしています。

したがって、「大規模な攻撃キャンペーンが確認された」「多数のホスティング事業者が侵害された」とまでは確認できません。

一方、Acronis自身が実悪用を公表している以上、対象製品を利用している環境ではCVSSだけで優先度を判断せず、修正版の適用を優先する必要があります。

Plesk向けも同じCVEの影響対象

CVE-2026-87886はcPanel／WHM向けだけでなく、Plesk向けの「Acronis Backup extension for Plesk」にも影響します。

Acronisが公表した影響範囲は次のとおりです。

• Acronis Backup plugin for cPanel & WHM：1.9.3.1021より前
• Acronis Backup extension for Plesk：1.8.11.638より前

cPanel／WHM向けは1.9.3 HF3 build 1021、Plesk向けは1.8.11 build 638で修正されています。

ただし、Acronisが実悪用を明示しているのはcPanel／WHM向け環境です。

9月16日時点で、Plesk向け拡張機能が実際の攻撃で悪用されたとの一次情報は確認できません。

cPanel向け修正版は1.9.3 HF3、現在は1.9.4も公開

AcronisのcPanel／WHM向けリリースノートでは、2026年9月11日に1.9.3 HF3（build 1021）が公開され、セキュリティ修正としてSEC-10986が紐付けられています。

同じ9月11日には、さらに新しい1.9.4（build 1022）も公開されています。

1.9.4では、今回の脆弱性修正に加えて、

• 2要素認証環境でのエージェント登録
• Ubuntu 22.04 LTS対応
• AlmaLinux 10とcPanel 132への対応
• S3互換ストレージ上のバックアップ参照・復元
• Network Block Device（NBD）を利用したバックアップマウント改善

などが追加されています。

そのため、現在新規にアップデートする場合は、利用中のAcronis Cyber Cloudや保護エージェントとの互換性を確認したうえで、1.9.3 HF3以上、可能であれば現在提供されている最新の安定版を適用します。

なお、1.9.4はAcronis Cyber Cloudと保護エージェントのC26.08を前提としており、1.9.3 HF3はC26.02を前提としています。更新時にはプラグイン単体だけでなく、関連コンポーネントの前提バージョンも確認する必要があります。

Plesk向け1.8.11は6月に公開済み

Plesk向けの修正版1.8.11 build 638は、Acronisのリリースノート上では2026年6月3日に公開されています。

リリースノートには複数の通常修正とともに「Security fixes」が記載され、9月に公開されたSEC-10986の更新ページへリンクされています。

つまり、Plesk利用者については、9月のCVE公開より前に1.8.11へ更新済みであれば、今回の脆弱性への修正が適用されています。

一方、長期間アップデートしていないPlesk環境では1.8.10以前が残っている可能性があるため、バージョン確認が必要です。

Acronisは9月11日の時点で即時更新を要請

AcronisはCVE番号や詳細を公開する前の9月11日、cPanel／WHM向けのセキュリティ更新を公開していました。

当初の更新情報では、

• High severityの脆弱性1件を修正
• 実際の攻撃で悪用を確認
• 全利用者に即時インストールを強く推奨
• 詳細は後日公開

と案内していました。

9月15日にSEC-10986が更新され、CVE-2026-87886、脆弱性の種類、CVSS、影響ビルドが明らかになりました。

このように、ベンダーが攻撃手法を詳細公開する前に修正版だけを先行提供するケースがあります。

実悪用が確認されている場合、脆弱性の全技術情報が公開されるまで更新を待つのではなく、ベンダーが示す修正版を先に適用する判断が必要です。

IOCは未公表、更新だけでなく侵害確認も必要

Acronisは9月15日時点で、CVE-2026-87886の悪用に関連する具体的なIOCを公表していません。

また、

• 攻撃がいつ行われたか
• 権限昇格前の初期アクセス手法
• 権限昇格後に攻撃者が実行した操作
• マルウェアやWebシェルが設置されたか
• データへアクセスされたか

といった詳細も明らかにしていません。

そのため、対象バージョンを利用していた組織は、アップデートだけで対応完了とせず、Linuxサーバー上で不審な権限昇格やコマンド実行がなかったか確認する必要があります。

特にホスティング事業者では、1台のcPanel／WHMやPleskサーバーに多数の顧客サイト、メール、データベースを収容している場合があります。

サーバー管理権限を奪われた場合、影響が複数顧客へ波及する可能性があります。

cPanel／WHMとPleskのバックアップ統合とは

Acronis Backup plugin for cPanel & WHMは、Acronisのバックアップ機能をcPanel／WHMへ統合するためのプラグインです。

cPanelのサポート文書では、このプラグインを使うことでWHMの管理画面からAcronis BackupまたはAcronis Cyber Cloudと連携し、Webサイト、ファイル、データベース、メールボックス、ホスティングアカウントなどのバックアップ・復元を操作できます。

cPanel側の導入手順では、プラグインに加えてAcronisの保護エージェントを同じサーバーへインストールする構成も示されています。

Plesk向け拡張機能も同様に、Pleskの管理画面からAcronisのバックアップ機能へアクセスするための統合コンポーネントです。

ホスティング基盤に深く統合されるため、こうした管理用コンポーネントの権限昇格脆弱性は、一般的なWebアプリケーションの1機能だけの問題として扱わない方が安全です。

CISA KEVには9月16日時点で未掲載

Acronisは実悪用を確認していますが、9月16日時点でCVE-2026-87886が米CISAのKnown Exploited Vulnerabilities（KEV）カタログへ追加されたことは確認できませんでした。

KEV未掲載だから実悪用がないという意味ではありません。

今回のようにベンダー自身が実悪用を確認している場合、KEVへの追加を待たずに修正を優先する必要があります。

今後CISAがKEVへ追加した場合、米連邦政府機関ではBinding Operational Directive 22-01に基づく期限付きの是正対象になります。

サーバー管理者・ホスティング事業者が確認したいポイント

cPanel／WHMまたはPleskを運用している企業・ホスティング事業者では、まずAcronis製バックアップ統合の有無を確認します。

• Acronis Backup plugin for cPanel & WHMを導入しているか
• cPanel向けが1.9.3 HF3 build 1021以上か
• Plesk向けが1.8.11 build 638以上か
• 現在利用できる最新安定版へ更新可能か
• プラグインだけでなくAcronis Cyber Cloud／保護エージェントの前提バージョンを満たしているか
• 対象サーバーに低権限のシェルアカウントや顧客アカウントが多数存在しないか
• 不審なsudo実行、UID 0アカウント追加、SUIDファイル変更などの権限昇格兆候を確認できるか
• /etc/passwd、/etc/sudoers、SSH鍵、cron、systemdサービスなどに不審な変更がないか
• Webサーバーや管理パネルにWebシェルや不審なスクリプトが追加されていないか
• Acronis、cPanel／WHM、Plesk、OSのログを保全しているか
• サーバー管理者や顧客の認証情報を必要に応じてローテーションできるか
• 1台のサーバー上に存在する顧客・サイトの影響範囲を把握できるか

特に、今回の脆弱性は初期侵入そのものではなく「侵入後の権限昇格」に使われる可能性があります。

脆弱性対応では、修正版の適用と同時に「攻撃者がすでに低権限アクセスを確保していなかったか」を確認する必要があります。

出典

一次情報：

• Local privilege escalation due to insecure file permissions – SEC-10986 – Acronis Advisory Database
• Acronis Backup plugin for cPanel & WHM version 1.9.3 – Acronis Advisory Database
• Backup plugin for cPanel and WHM – Release Notes – Acronis
• Backup extension for Plesk – Release Notes – Acronis
• How To Install the Acronis Backup Plugin – cPanel
• Known Exploited Vulnerabilities Catalog – CISA

Acronisへの直接取材を含む報道：

• Acronis warns of actively exploited flaw in its cPanel backup plugin – BleepingComputer