目次（5）
CVE-2023-22793
CVE-2026-107239
CVE-2026-107238
Veeam は 2026-10-29、バックアップ製品の監視を System Center に統合する「Veeam Management Pack for Microsoft System Center」について、リモートコード実行（RCE）につながる欠陥 3 件の修正を公表しました。うち 1 件は認証なしで悪用できる「Critical」です。バージョン 9.x には修正版が出ないため、13.1 への移行が対応になります。
何が問題か
CVE-2023-22793（Critical）: Virtualization Extensions サービスが動くサーバーで、認証のない攻撃者がリモートコード実行を行えるおそれがあります。
CVE-2026-107239（High）: Virtualization Extensions Users グループの利用者が、Collector サービスが動くサーバーでリモートコード実行を行えるおそれがあります。
CVE-2026-107238（High）: 認証済みのドメインユーザーが、Collector サービスが動くサーバーで LocalSystem 権限のリモートコード実行を行えるおそれがあります。
いずれも Veeam の社内テストで見つかったものと記載されています。
数値で見る
| CVE | 深刻度 | CVSS v4.0（Veeam 公表値） |
|---|---|---|
| CVE-2023-22793 | Critical | 9.3 |
| CVE-2026-107239 | High | 8.8 |
| CVE-2026-107238 | High | 8.7 |
| 項目 | 内容 |
|---|---|
| 対象 | Veeam Management Pack for Microsoft System Center 9.1 と、それより前の 9 系すべて（Veeam Backup & Replication 13 互換パッチを含む） |
| 修正版 | 13.1（ビルド 13.1.0.334）以降 |
| 9.x の修正 | 提供されない（13.1.0.334 への更新が必要） |
| 勧告の公開日 | 2026-10-29（Veeam KB4961） |
サポート対象外の古い版は検証されていませんが、影響を受ける可能性が高いと Veeam は述べています。CVSS は深刻さの目安（10.0 が最大）です。
誰が気をつけるか
System Center（SCOM）で Veeam のバックアップ環境を監視するために、この管理パックの 9.x を使っている組織です。
今やること
- 管理パックの版を確認する（9.1 以前なら対象）。
- 13.1.0.334 以降へ更新する。9.x のまま使い続けるための修正は出ません。
- 更新までの間は、Virtualization Extensions と Collector サービスが動くサーバーへのネットワーク到達を、管理に必要な範囲に絞る。
- Virtualization Extensions Users グループのメンバーを見直す。
用語メモ
- リモートコード実行（RCE）: ネットワーク越しに、相手のサーバー上で任意のプログラムを動かされること。
- LocalSystem: Windows で最も強い権限を持つ内蔵アカウント。
この記事について
- 執筆・編集
- World Security 編集部
