概要
CVE-2026-28713は、Acronis社のVMware向け仮想アプライアンス製品において、ローカル特権ユーザーにデフォルト認証情報が設定されている脆弱性です。この脆弱性が悪用された場合、攻撃者はデフォルトの認証情報を用いて仮想アプライアンスに不正にアクセスし、特権を昇格させる可能性があります。本脆弱性は深刻度「HIGH」と評価されており、CVSSv3スコアは7.1と報告されています。
影響範囲
以下のAcronis製品が本脆弱性の影響を受けると報告されています。
- Acronis Cyber Protect Cloud Agent (VMware) : ビルド 36943 未満のバージョン
- Acronis Cyber Protect 17 (VMware) : ビルド 41186 未満のバージョン
これらの製品をご利用の場合、ご自身の環境が影響を受けるか確認することが重要です。
想定される影響
この脆弱性が悪用された場合、以下のような影響が想定されます。
- 攻撃者がデフォルト認証情報を使用して仮想アプライアンスに不正にログインし、システムへのアクセス権を取得する可能性があります。
- 不正アクセスにより、機密情報の漏洩、データの改ざん、サービスの停止など、広範な被害につながる可能性があります。
- 特権ユーザーの認証情報であるため、システムに対する高度な操作が可能になる恐れがあります。
攻撃成立条件・悪用状況
攻撃が成立するためには、対象の仮想アプライアンスにおいて、ローカル特権ユーザーの認証情報がデフォルトのまま変更されていないことが条件となります。現時点では、本脆弱性の具体的な悪用状況に関する公開情報は報告されていません。
推奨対策
今すぐできる対策（優先度：高）
- 製品のアップデート: Acronis社が提供する最新のビルド（Acronis Cyber Protect Cloud Agent (VMware) はビルド 36943 以降、Acronis Cyber Protect 17 (VMware) はビルド 41186 以降）へ速やかにアップデートしてください。これにより、脆弱性が修正されます。
中長期的な対策
- デフォルト認証情報の変更: 仮想アプライアンス導入後、速やかに全てのデフォルト認証情報を、推測されにくい複雑なパスワードに変更してください。
- 強固なパスワードポリシーの適用: 仮想アプライアンスを含む全てのシステムにおいて、パスワードの複雑性、長さ、定期的な変更を義務付ける強固なパスワードポリシーを適用してください。
- ネットワークセグメンテーション: 仮想アプライアンスへのアクセスを制限するため、必要最小限のネットワークセグメントからのみアクセスを許可するよう設定を検討してください。
一時的な緩和策
直ちに製品のアップデートが困難な場合は、暫定的な緩和策として、対象の仮想アプライアンスに設定されているローカル特権ユーザーのデフォルト認証情報を、直ちに強固なパスワードに変更することを強く推奨します。これにより、デフォルト認証情報の悪用リスクを低減できます。
確認方法
ご自身の環境で影響を受ける製品が稼働しているか、またそのバージョンが脆弱なビルドに該当するかを確認してください。また、仮想アプライアンスの管理インターフェースにアクセスし、ローカル特権ユーザーの認証情報がデフォルトのままになっていないかを確認してください。