---
title: "Acronis Backup のホスティングパネル用プラグインに権限昇格の脆弱性 CVE-2026-87886: CISA KEV に追加済み"
url: https://n-t-p.io/worldsecurity/articles/acronis-backup-hosting-panel-plugins-insecure-file-permissions-local-privilege-escalation-kev-cve-2026-87886
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月3日
updated: 2026年11月3日
severity: 高
cve: CVE-2026-87886
---

# Acronis Backup のホスティングパネル用プラグインに権限昇格の脆弱性 CVE-2026-87886: CISA KEV に追加済み

> **TL;DR:** Acronis Backup の cPanel・Plesk・DirectAdmin 用 Linux プラグインに、ファイル権限の不備で低権限のユーザーが権限を昇格できる脆弱性（CVE-2026-87886、CVSS v3.0 7.8）。CISA KEV に追加済み。各プラグインを修正 build へ更新する。

**要点**
- ファイル権限の設定不備（CWE-276）。サーバー上の低権限ユーザーが管理者相当の権限を得られる
- CVSS v3.0 7.8（AV:L/PR:L）。ローカル限定のため high。CISA KEV に 2026-09-16 追加
- 修正 build は cPanel 1.9.3.1021、Plesk 1.8.11.638、DirectAdmin 1.2.3.238。勧告は SEC-10986
- 共有ホスティングで特に注意。悪用の規模・詳しい手順は未確認

Acronis Backup の、ホスティング管理パネル向けプラグイン（cPanel & WHM、Plesk、DirectAdmin の各 Linux 版）に、ファイル権限の設定不備による権限昇格の脆弱性（CVE-2026-87886）があります。サーバー上で一般ユーザーとして動ける攻撃者が、管理者相当の権限を得られる可能性があります。CVSS v3.0 は 7.8（HIGH、AV:L/AC:L/PR:L/UI:N）で、CISA は 2026-09-16 に KEV（悪用が確認された脆弱性）へ追加しました。EPSS は 0.0023（パーセンタイル 0.142）です。

## 概要

| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-87886 |
| 製品 | Acronis Backup プラグイン（cPanel & WHM、Plesk、DirectAdmin の Linux 版） |
| 問題 | 不適切なファイル権限による権限昇格（CWE-276） |
| 攻撃条件 | ローカル（サーバー上のアカウントが必要）、低権限、ユーザー操作不要（CVSS ベクター） |
| 影響 | 機密性・完全性・可用性のいずれも High |
| 悪用状況 | CISA KEV に 2026-09-16 追加（期限 09-19）。CISA の SSVC では exploitation: active |

## 影響を受ける版と修正版（NVD の記載）

| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Acronis Backup plugin for cPanel & WHM（Linux） | build 1.9.3.1021 より前 | build 1.9.3.1021 |
| Acronis Backup extension for Plesk（Linux） | build 1.8.11.638 より前 | build 1.8.11.638 |
| Acronis Backup plugin for DirectAdmin（Linux） | build 1.2.3.238 より前 | build 1.2.3.238 |

## 読むときの注意

- 攻撃にはサーバー上の低権限アカウントが必要です。インターネットから直接ではなく、共有ホスティングのように複数の利用者が同じサーバーを使う環境や、別の脆弱性でアカウントを奪われた後に使われる形が想定されます。
- KEV への追加は、実際に悪用された情報があることを意味します。誰がどの規模で、どの手口と組み合わせて悪用したかは、公開情報では分かりません。
- NVD の状態は Analyzed（2026-09-17 公開）です。CVSS の値は Acronis による Secondary です。

## 対策

- 3 つのプラグインを、上の表の build 以降へ更新する。更新の手順と最新の build は Acronis の勧告（SEC-10986）で確認する。
- 更新前の期間があれば、プラグインのファイルや設定の権限、不審なアカウント作成や管理者権限での操作がないか点検する。
- 共有ホスティングでは、利用者ごとのアカウントの分離と、不要なシェルアクセスの制限を見直す。

## 数値と出典（2026-11-03 時点）

| 項目 | 内容 |
|---|---|
| NVD の状態 | Analyzed（2026-09-17 公開） |
| CVSS v3.0 | 7.8（HIGH。Acronis による Secondary の値。CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H） |
| CWE | CWE-276 |
| EPSS | 0.0023（パーセンタイル 0.142、2026-11-02 時点） |
| KEV | 2026-09-16 追加、期限 2026-09-19 |
| 出典 | NVD、Acronis 勧告 SEC-10986、CISA KEV、FIRST |

## 未確認の点

- 実際の悪用の規模・攻撃者・標的、ランサムウェアでの利用の有無。
- 具体的にどのファイルの権限が問題か、権限昇格の詳しい手順（勧告本文は未取得）。
- NVD の構成情報には 1.9.3 の hotfix 版も含まれており、cPanel 版の修正 build との対応の詳細。


## 出典
- [NVD CVE-2026-87886](https://nvd.nist.gov/vuln/detail/CVE-2026-87886) — NIST NVD
- [Acronis セキュリティ勧告 SEC-10986](https://security-advisory.acronis.com/advisories/SEC-10986) — Acronis
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-87886) — CISA
- [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-87886) — FIRST

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/acronis-backup-hosting-panel-plugins-insecure-file-permissions-local-privilege-escalation-kev-cve-2026-87886