--- title: "Veeam の System Center 向け管理パックに、認証なしでサーバー上のプログラムを実行される欠陥など 3 件（CVE-2023-22793 ほか）" url: https://n-t-p.io/worldsecurity/articles/veeam-management-pack-scom-rce-kb4961-2023-22793 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年10月30日 updated: 2026年10月30日 severity: 緊急 cve: CVE-2023-22793, CVE-2026-107239, CVE-2026-107238 --- # Veeam の System Center 向け管理パックに、認証なしでサーバー上のプログラムを実行される欠陥など 3 件（CVE-2023-22793 ほか） > **TL;DR:** Veeam は 2026-10-29、Management Pack for Microsoft System Center の 9.x に、リモートコード実行につながる欠陥 3 件（最大 CVSS v4.0 9.3、認証不要の 1 件を含む）があると公表した。9.x の修正版は出ず、13.1.0.334 への更新が必要。 **要点** - 認証なしで悪用できる Critical の欠陥（CVE-2023-22793、CVSS v4.0 9.3）を含む 3 件の RCE - 対象は 9.1 以前の 9 系。9.x に修正は出ない - 13.1（ビルド 13.1.0.334）以降へ更新する Veeam は 2026-10-29、バックアップ製品の監視を System Center に統合する「Veeam Management Pack for Microsoft System Center」について、リモートコード実行（RCE）につながる欠陥 3 件の修正を公表しました。うち 1 件は認証なしで悪用できる「Critical」です。バージョン 9.x には修正版が出ないため、13.1 への移行が対応になります。 ## 何が問題か **CVE-2023-22793（Critical）**: Virtualization Extensions サービスが動くサーバーで、認証のない攻撃者がリモートコード実行を行えるおそれがあります。 **CVE-2026-107239（High）**: Virtualization Extensions Users グループの利用者が、Collector サービスが動くサーバーでリモートコード実行を行えるおそれがあります。 **CVE-2026-107238（High）**: 認証済みのドメインユーザーが、Collector サービスが動くサーバーで LocalSystem 権限のリモートコード実行を行えるおそれがあります。 いずれも Veeam の社内テストで見つかったものと記載されています。 ## 数値で見る | CVE | 深刻度 | CVSS v4.0（Veeam 公表値） | |---|---|---| | CVE-2023-22793 | Critical | 9.3 | | CVE-2026-107239 | High | 8.8 | | CVE-2026-107238 | High | 8.7 | | 項目 | 内容 | |---|---| | 対象 | Veeam Management Pack for Microsoft System Center 9.1 と、それより前の 9 系すべて（Veeam Backup & Replication 13 互換パッチを含む） | | 修正版 | 13.1（ビルド 13.1.0.334）以降 | | 9.x の修正 | 提供されない（13.1.0.334 への更新が必要） | | 勧告の公開日 | 2026-10-29（Veeam KB4961） | サポート対象外の古い版は検証されていませんが、影響を受ける可能性が高いと Veeam は述べています。CVSS は深刻さの目安（10.0 が最大）です。 ## 誰が気をつけるか System Center（SCOM）で Veeam のバックアップ環境を監視するために、この管理パックの 9.x を使っている組織です。 ## 今やること 1. 管理パックの版を確認する（9.1 以前なら対象）。 2. 13.1.0.334 以降へ更新する。9.x のまま使い続けるための修正は出ません。 3. 更新までの間は、Virtualization Extensions と Collector サービスが動くサーバーへのネットワーク到達を、管理に必要な範囲に絞る。 4. Virtualization Extensions Users グループのメンバーを見直す。 ## 用語メモ - **リモートコード実行（RCE）**: ネットワーク越しに、相手のサーバー上で任意のプログラムを動かされること。 - **LocalSystem**: Windows で最も強い権限を持つ内蔵アカウント。 ## 出典 - [Veeam KB4961: Vulnerabilities Resolved in Veeam Management Pack for Microsoft System Center 13.1](https://www.veeam.com/kb4961) — ベンダー - [NVD CVE-2023-22793](https://nvd.nist.gov/vuln/detail/CVE-2023-22793) — NIST NVD --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/veeam-management-pack-scom-rce-kb4961-2023-22793