検索NeSC を見る
脆弱性・CVE速報深刻度: 高

Acronis Backup のホスティングパネル用プラグインに権限昇格の脆弱性 CVE-2026-87886: CISA KEV に追加済み

World Security 編集部
AI 支援あり
目次（6）

CVE-2026-87886

Acronis Backup の、ホスティング管理パネル向けプラグイン（cPanel & WHM、Plesk、DirectAdmin の各 Linux 版）に、ファイル権限の設定不備による権限昇格の脆弱性（CVE-2026-87886）があります。サーバー上で一般ユーザーとして動ける攻撃者が、管理者相当の権限を得られる可能性があります。CVSS v3.0 は 7.8（HIGH、AV:L/AC:L/PR:L/UI:N）で、CISA は 2026-09-16 に KEV（悪用が確認された脆弱性）へ追加しました。EPSS は 0.0023（パーセンタイル 0.142）です。

概要

項目内容
CVECVE-2026-87886
製品Acronis Backup プラグイン（cPanel & WHM、Plesk、DirectAdmin の Linux 版）
問題不適切なファイル権限による権限昇格（CWE-276）
攻撃条件ローカル（サーバー上のアカウントが必要）、低権限、ユーザー操作不要（CVSS ベクター）
影響機密性・完全性・可用性のいずれも High
悪用状況CISA KEV に 2026-09-16 追加（期限 09-19）。CISA の SSVC では exploitation: active

影響を受ける版と修正版（NVD の記載）

製品影響を受ける版修正版
Acronis Backup plugin for cPanel & WHM（Linux）build 1.9.3.1021 より前build 1.9.3.1021
Acronis Backup extension for Plesk（Linux）build 1.8.11.638 より前build 1.8.11.638
Acronis Backup plugin for DirectAdmin（Linux）build 1.2.3.238 より前build 1.2.3.238

読むときの注意

  • 攻撃にはサーバー上の低権限アカウントが必要です。インターネットから直接ではなく、共有ホスティングのように複数の利用者が同じサーバーを使う環境や、別の脆弱性でアカウントを奪われた後に使われる形が想定されます。
  • KEV への追加は、実際に悪用された情報があることを意味します。誰がどの規模で、どの手口と組み合わせて悪用したかは、公開情報では分かりません。
  • NVD の状態は Analyzed（2026-09-17 公開）です。CVSS の値は Acronis による Secondary です。

対策

  • 3 つのプラグインを、上の表の build 以降へ更新する。更新の手順と最新の build は Acronis の勧告（SEC-10986）で確認する。
  • 更新前の期間があれば、プラグインのファイルや設定の権限、不審なアカウント作成や管理者権限での操作がないか点検する。
  • 共有ホスティングでは、利用者ごとのアカウントの分離と、不要なシェルアクセスの制限を見直す。

数値と出典（2026-11-03 時点）

項目内容
NVD の状態Analyzed（2026-09-17 公開）
CVSS v3.07.8（HIGH。Acronis による Secondary の値。CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）
CWECWE-276
EPSS0.0023（パーセンタイル 0.142、2026-11-02 時点）
KEV2026-09-16 追加、期限 2026-09-19
出典NVD、Acronis 勧告 SEC-10986、CISA KEV、FIRST

未確認の点

  • 実際の悪用の規模・攻撃者・標的、ランサムウェアでの利用の有無。
  • 具体的にどのファイルの権限が問題か、権限昇格の詳しい手順（勧告本文は未取得）。
  • NVD の構成情報には 1.9.3 の hotfix 版も含まれており、cPanel 版の修正 build との対応の詳細。

この記事について

AI の利用
本記事は AI が NVD などの公開情報をもとに作成しました。数値は取得時点（2026-11-03）のもので、未確認の点は本文に明記しています。

出典

この記事を共有

この記事の Markdown 版（LLM向け） ↗

関連記事