CVE-2026-44963 — Veeam Backup & Replication RCE

研究リポジトリ by SentinelX — 許可されたセキュリティテストおよび防御目的に限ります。

概要

フィールド	詳細
CVE ID	CVE-2026-44963
ベンダー	Veeam
製品	Backup & Replication
影響を受けるバージョン	< 12.3.2.4854 (すべてのv12ビルド)
修正バージョン	12.3.2.4854
CVSS v4 スコア	9.4 — 重大
CVSS v3 スコア	8.8 — 高
CWE	CWE-502 (Deserialization of Untrusted Data)
発見者	Sina Kheirkhah @ WatchTowr
公開日	2026年6月9日
ベンダーアドバイザリ	KB4869

脆弱性の説明

CVE-2026-44963 は、Veeam Backup & Replication における リモートコード実行 (RCE) の脆弱性であり、信頼できないデータの安全でない逆シリアル化（CWE-502）に起因します。この脆弱性により、認証されたドメインユーザー — 昇格された権限は不要 — がリモートからバックアップサーバ上で任意のコードを実行できます。

主な特徴

攻撃元区分: Network (AV:N)
攻撃の複雑さ: 低 (AC:L)
必要な権限: 低 — 任意のドメインユーザー (PR:L)
ユーザー操作: 不要 (UI:N)
スコープ: 完全なシステム + 水平移動の可能性
悪用条件: ターゲットは ドメイン参加 している必要がある

危険性の理由

任意のドメインアカウント  昇格された権限は不要

VBRサーバへのネットワークアクセス

細工されたペイロードの逆シリアル化

SYSTEM/サービスアカウントとしてのRCE

バックアップインフラ全体の侵害

リポジトリ構造

CVE-2026-44963/
 README.md # This file
 docs/
 technical-analysis.md # Deep-dive technical breakdown
 timeline.md # Disclosure & patch timeline
 references.md # External references
 detection/
 scan_veeam.py # Discover Veeam instances on network (TCP scan)
 check_version.py # Check version via Veeam REST API (auth required)
 http_prober.py # Custom HTTP fingerprinter — no third-party tools
 remediation/
 patch_checker.py # Validate patch status
 hardening.ps1 # Post-patch hardening script
 lab/
 setup.md # Lab environment setup guide
 ioc/
 indicators.md # IoCs for SIEM/EDR detection

クイックリファレンス

攻撃フロー (許可されたペネトレーションテスト向け)

1. Reconnaissance Identify domain-joined Veeam VBR instances
2. Enumeration Confirm version < 12.3.2.4854
3. Access Obtain any valid domain credentials
4. Exploitation Send crafted deserialization payload
5. Post-exploit Extract config DB, harvest creds, lateral move

ペネトレーションテスター用チェックリスト

書面による承認の取得
スコープの確認 (対象範囲内のドメイン参加VBRサーバ)
ライブテスト前のラボ再現の完了
ロールバック計画の準備
アクションのログ/監視の有効化

検出

完全なIoCリストについてはioc/indicators.mdを参照してください。

主要な検出ポイント:

Veeam.Backup.Service.exe からの異常なプロセス生成
バックアップサーバ上での予期しない .NET デシリアライゼーションアクティビティ
VBRホストからの異常なアウトバウンド接続
認証ログ: 通常時間外にVBRに認証するドメインユーザー

修復

即時: Veeam Backup & Replication 12.3.2.4854 にパッチ適用

強化:

VBRサービスポートへのネットワークアクセスを制限
ドメインユーザーアクセスに最小権限を適用
バックアップサーバを専用VLANに分離
VBRで拡張ログを有効化

自動化された強化スクリプトについてはremediation/hardening.ps1を参照してください。

法的免責事項

このリポジトリは、許可されたセキュリティ研究、明示的な書面による許可を得たペネトレーションテスト、および防御/ブルーチームの目的に厳密に限定されています。

この素材を、所有していない、またはテストする明示的な許可がないシステムに対して不正に使用することは違法であり、刑事訴追の対象となる可能性があります。

SentinelX およびこのリポジトリの貢献者は、この情報の誤用について一切責任を負いません。

参考文献

Made with by SentinelX | コミュニティのために、コミュニティによって

CVE-2026-44963

人気