Veeam ONEに重大な脆弱性CVE-2026-64633が見つかり、認証不要でリモートから任意コードを実行できることが明らかになった。Veeamはこの脆弱性を含む6件の問題を修正したVeeam ONE 13.1.0.7034を公開しており、バックアップ監視基盤が標的となるリスクから速やかな更新を推奨している。 CVE-2026-64633は、監視対象ホスト上で動作するVeeam ONEエージェントに存在し、ネットワーク経由で認証なしに任意コードを実行できる。ユーザー操作やログインは不要で、到達可能なエージェントが侵害されると攻撃の足掛かりとなる可能性がある。現時点で悪用事例やPoCは公開されていない。 今回の更新では、このほかにも5件の脆弱性が修正された。CVE-2026-58075（CVSS 8.7）は認証不要で任意ファイルを読み取れる問題、CVE-2026-58074およびCVE-2026-64631（ともにCVSS 8.6）は権限を持つ、または低権限ユーザーによるコード実行やSQLインジェクション、CVE-2026-64634（CVSS 8.4）はローカル権限昇格、CVE-2026-64630（CVSS 5.3）は共有レポートデータの情報漏えいに関する問題である。 影響を受けるのはVeeam ONE 13.0.2.6723およびそれ以前のバージョン13系で、回避策は提供されていない。Veeamは13.1.0.7034への更新と、更新完了までの間はVeeam ONEエージェントへのネットワークアクセスを制限するよう案内している。 https://securityonline.info/veeam-one-cve-2026-64633-rce/
Post summary
A critical remote code execution vulnerability in Veeam ONE was disclosed, with a patch released and mitigation instructions given, but no proof of exploitation or PoC has surfaced.