概要
Acronis Cyber Protect 17において、認証チェックの不備に起因する機密情報漏えいの脆弱性（CVE-2026-28715）が報告されました。この脆弱性は、システムが本来アクセスを許可すべきでない情報へのアクセスを不適切に許可してしまうことにより発生する可能性があります。本脆弱性の深刻度は「MEDIUM」と評価されています。
影響範囲
本脆弱性の影響を受ける製品およびバージョンは以下の通りです。
- Acronis Cyber Protect 17 (Linux版、Windows版) のビルド41186より前のバージョン
想定される影響
この脆弱性が悪用された場合、認証チェックの不備により、攻撃者が本来アクセス権限を持たない機密情報を取得する可能性があります。漏えいする情報の具体的な内容は報告されていませんが、システム設定、ユーザー情報、またはバックアップ関連データの一部などが含まれる可能性が考えられます。これにより、攻撃者はシステムに関する追加情報を入手し、さらなる攻撃の足がかりとする恐れがあります。
攻撃成立条件・悪用状況
攻撃成立の具体的な条件については、提供された情報からは詳細が不明です。また、現時点では、この脆弱性が実際に悪用されているという具体的な報告は確認されていません。
推奨対策
今すぐできる対策（優先度：高）
- 製品のアップデート: Acronis社から提供される修正パッチを適用し、Acronis Cyber Protect 17をビルド41186以降の最新バージョンに速やかにアップデートしてください。ベンダーの公式セキュリティアドバイザリやサポート情報を確認し、指示に従って適用計画を立てることを強く推奨します。
中長期的な対策
- ログ監視の強化: Acronis Cyber Protectが稼働するシステムおよび関連するネットワークのログ監視を強化し、不審なアクセスや異常な情報取得の兆候がないか継続的に監視してください。
- 最小権限の原則の徹底: 各ユーザーやサービスに対し、業務遂行に必要な最小限の権限のみを付与する「最小権限の原則」を徹底し、不要な情報へのアクセスを制限する運用を継続してください。
一時的な緩和策
提供された情報からは、具体的な一時的な緩和策は明記されていません。しかし、一般的なセキュリティ対策として、Acronis Cyber Protectが稼働するシステムへのネットワークアクセスを厳しく制限し、信頼できるIPアドレスからのみアクセスを許可するなどの対策が有効である可能性があります。
確認方法
現在ご利用中のAcronis Cyber Protect 17のバージョン（ビルド番号）を確認してください。製品の管理コンソールやシステム情報画面から確認できるはずです。確認したビルド番号が41186より前である場合、本脆弱性の影響を受ける可能性があります。
参考情報
- CVE-2026-28715の詳細情報: https://cvefeed.io/vuln/detail/CVE-2026-28715
- Acronis社の公式セキュリティアドバイザリ（公開され次第、ご確認ください）