Acronis BackupのcPanel、Plesk、DirectAdmin向けプラグインにCVE-2026-87886。不適切な既定パーミッションによる権限昇格がKEV入り

2026年9月16日、CISAはAcronisのバックアップ連携プラグインの脆弱性CVE-2026-87886をKnown Exploited Vulnerabilities Catalog(KEVカタログ)に追加しました。対象は、ホスティング用のコントロールパネルであるcPanel & WHM、Plesk、DirectAdminにAcronisのバックアップ機能を組み込むLinux向けのプラグインです。ファイルのパーミッションが安全でない状態で置かれているため、サーバーに低い権限でログインできる攻撃者が権限を引き上げられるおそれがあります。Acronisは、cPanel & WHM向けプラグインを使う環境で、限定的な標的型の攻撃による悪用を検知したと公表しています。

この記事は、Acronisのアドバイザリと更新情報、KEVのエントリ、NVDとCVEのレコードで確認できた内容を整理し、対象の確認から更新、侵害を疑う場合の確認までを扱います。Acronisは管理者が更新する時間を確保するために技術的な詳細を公開しておらず、どのファイルの権限が問題だったのかは執筆時点で分かっていません。記述は執筆時点(2026年9月26日)に確認できた範囲に限り、攻撃の再現手順は扱いません。

KEVカタログに記録された内容#

CISAが配布するKEVカタログのJSONフィード(執筆時点で確認したカタログバージョン2026.09.25)に記録された値です。

shortDescriptionは「Acronis Backup plugin for cPanel & WHM and extension for Plesk contains an incorrect default permissions vulnerability that could allow for privilege escalation.」です。KEVの説明はcPanel & WHM向けとPlesk向けの2製品だけを挙げており、DirectAdmin向けは含まれていません。DirectAdmin向けの修正は、KEV追加の翌日にAcronisが公開した更新情報で示されています。

CISAは同じ9月16日のアラートで、CiscoのIdentity Services EngineのCVE-2026-76460とあわせて2件をKEVへ追加したと告知しています。期限の9月19日は追加から3日後で、この期限と侵害の有無の確認(Forensics Triage)を課すBOD 26-04の対象は、米国連邦政府の行政機関の資産です。日本の民間組織に義務はありませんが、CISAはすべての組織にKEVの脆弱性を優先して直すよう勧めています。

NVDのレコードには、CISAが付けたSSVCの評価も載っています。悪用状況(Exploitation)はactive、自動化のしやすさ(Automatable)はno、技術的な影響(Technical Impact)はtotalです。totalは、悪用に成功した攻撃者がそのシステムを全面的に制御できるという評価です。Automatableがnoなのは、攻撃の前提としてサーバー上の足場が必要で、インターネット越しに一斉に自動で悪用できる種類の欠陥ではないことと整合します。

あわせて読みたい

脆弱性対応の優先順位付け。CVSSだけに頼らないEPSSとCISA KEVの使い方

対象の製品と修正ビルド#

AcronisのアドバイザリSEC-10986と、製品ごとの更新情報に載っている内容です。3製品ともLinux版だけが対象です。

cPanel & WHM向けの更新情報は、この更新を「すべての利用者が直ちに適用すべき」と位置づけています。Plesk向けとDirectAdmin向けは「すべての利用者に推奨」という表現です。悪用が報告されていない2製品も同じ脆弱性を抱えているため、修正ビルドへの更新は3製品とも必要です。

アドバイザリの説明は「Exploitation of this vulnerability has been detected in the wild in limited, targeted attacks against Acronis Backup plugin for cPanel & WHM deployments.」です。CVSS v3.0の7.8(High)とCWE-276を示していますが、発見者の記載、参考情報、回避策の記載はありません。

公表からKEV追加までの時系列#

Acronisの更新情報、CISA、CVEのレコード、報道で確認できた日付を並べます。時刻が分かるものはUTCです。

修正版の配布が先に始まり、CVEの詳細は後から出るという順序になっています。CVE番号やKEVの告知を起点に更新作業を始めた組織でも、修正ビルドは9月10日から11日の時点で手に入る状態でした。SEC-10986のデータベース上の公開日時は9月17日ですが、BleepingComputerは9月15日の時点で同じ悪用の文言を引用し、最初の短い告知が週末に出され9月15日に更新されたと報じています。このため、9月17日はデータベースに記録された日時であり、アドバイザリの内容が最初に告知された日とは一致しません。最初の告知の正確な日時は、執筆時点で確認できていません。

不適切な既定パーミッションが許すこと#

CWE-276(Incorrect Default Permissions)について、MITREは「インストール時に、インストールされたファイルのパーミッションが誰でも変更できるように設定される」と説明しています。Acronisの説明も「insecure file permissions」で、この類型に当てはまります。

この種の欠陥が権限昇格につながる機構は、一般に次のとおりです。バックアップのプラグインやエージェントは、サーバー全体のファイルやデータベースを読むために、root権限で動くプロセスを持つのが普通です。そのプロセスが実行するスクリプトや読み込む設定ファイルに、一般ユーザーでも書き込めるパーミッションが付いていると、一般ユーザーがその中身を書き換え、次にrootのプロセスが処理したときに任意のコマンドをroot権限で実行させられます。今回の脆弱性でどのファイルやディレクトリが対象だったのかは公開されていないため、上の説明はCWE-276の典型的な悪用の形であり、CVE-2026-87886の具体的な手口として確認されたものではありません。

CVSSのベクトルは、この前提を反映しています。

AV:Lという値だけを見ると、外から直接は狙えないため優先度を下げてよいように見えます。しかし、cPanel、Plesk、DirectAdminは多数の利用者アカウントを1台に収容する共有ホスティングで使われる製品です。利用者にシェルアクセスを許可している環境では、それぞれの利用者アカウントが悪用の足場になり得ます。ただし、問題のファイルと悪用に必要なアクセス権は公開されておらず、どのアカウントから実際に悪用できるかは確認できていません。シェルを渡していない環境でも、利用者のWebサイトがWordPressのプラグインの脆弱性などで乗っ取られれば、攻撃者はそのアカウントの権限でサーバー上のコードを実行できます。ローカル権限昇格の脆弱性は、こうした一般アカウントの侵害をサーバー全体の侵害へ広げる役割を担います。MITRE ATT&CKではT1068(Exploitation for Privilege Escalation)にあたる段階です。

あわせて読みたい

CVSSスコアの読み方と脆弱性対応の優先度付け。基本値だけで判断しないために

悪用について分かっていること#

Acronisが公表しているのは、cPanel & WHM向けプラグインを使う環境で、限定的な標的型の攻撃による悪用を検知したという事実だけです。BleepingComputerは、Acronisが同誌への声明で、この評価は「影響を受けた可能性がある」顧客1社からの報告に基づくと説明したと報じています。同誌によると、Acronisは具体的な侵害の痕跡を特定しておらず、攻撃がいつ起きたか、攻撃者が権限昇格の後に何をしたかも明らかにしていません。

KEVのknownRansomwareCampaignUseはUnknownで、ランサムウェアの攻撃活動で使われたという情報は執筆時点で確認できません。攻撃者の帰属に関する公的な情報もありません。

ここから読み取れるのは、痕跡を照合して白黒をつける方法が用意されていないということです。更新を当てたうえで、侵害の有無はサーバーの状態から利用者側で確かめる必要があります(後述)。

あわせて読みたい

最小権限の原則（Least Privilege）。なぜ権限を絞ることが最強の防御の一つなのか

修正ビルドへの更新手順#

cPanel & WHM向けプラグインの更新手順は、Acronisのユーザーガイドに記載があります。Plesk向けとDirectAdmin向けは、それぞれのパネルの拡張機能の管理画面か、Acronisの案内に従います。

プラグインとは別に、バックアップを実行するプロテクションエージェントがあります。Acronisのガイドによると、エージェントは物理サーバーや仮想マシンの中に入れる構成(agent-based)のほか、Virtuozzo Server 7.5の上のコンテナや仮想マシンではホスト側に入れる構成(agentless)も取れます。どちらの構成でもプラグインはcPanelのサーバーの中に入ります。今回のアドバイザリが対象としているのはプラグインで、エージェントは含まれていません。エージェントはAcronisのガイドのとおり手動または自動で更新する仕組みで、プラグインの更新とは別の作業です。

更新までの暫定策#

執筆時点のアドバイザリには回避策の記載がありません。更新まで時間がかかるサーバーでは、脆弱性の前提であるローカルの足場を減らす方向で手を打ちます。いずれもCVE-2026-87886を直接塞ぐものではなく、一般的な露出の低減策です。対象ファイルが公開されていないため、この脆弱性に対する効果は検証できていません。

更新を先送りする期間は短くします。共有ホスティングでは利用者アカウントのすべてを管理者が統制できないため、暫定策だけで悪用の前提を消すのは難しいからです。

侵害を確かめるポイント#

Acronisは痕跡の情報を出していないため、初期確認の例として「rootのプロセスが処理するファイルが書き換えられていないか」と「rootで何かが追加されていないか」から始め、バックアップの設定と操作の履歴も確かめます。ここで異常が見つからなくても、侵害がなかったとは言い切れません。サーバーが多い場合は、利用者アカウントが多いものや、シェルアクセスを広く許していたものから調べます。

あわせて読みたい

インシデント発生時の初動対応。最初の1時間で何をするか

バックアップ基盤がランサムウェアに狙われる理由#

CISAの#StopRansomware Guideは、バックアップをオフラインで保つべき理由として、多くのランサムウェアが到達できるバックアップを探し出して削除または暗号化し、身代金を払わない限り復元できない状態にしようとすると書いています。MITRE ATT&CKでも、復旧のためのデータやサービスを消したり止めたりする行為はT1490(Inhibit System Recovery)として整理されています。

バックアップのプラグインやエージェントがこの流れの中で特別な位置にあるのは、一般に次の2点を併せ持つためです。エージェントを仮想化ホストに置く構成など、個々の製品の配置によって当てはまり方は変わります。

• サーバー上のすべてのファイルとデータベースを読むために、rootで動くプロセスを持つことが多い
• バックアップの保管先であるクラウドストレージや管理コンソールへ接続するための資格情報を、保護対象のサーバーや近くのホストに持つことが多い

このため、バックアップのソフトウェアの権限昇格の脆弱性は、単にサーバー1台の管理者権限を取られるだけで終わらない可能性があります。サーバー上の資格情報で保管先を操作できる構成なら、攻撃者は本番のデータと同時にバックアップを消せます。今回の脆弱性がそうした目的で使われたという報告は執筆時点でありませんが、更新と並行して、保管先が本番サーバー上の権限だけでは消せない構成になっているかを確かめておく価値があります。具体的には、保管先の変更不可(イミュータブル)の設定や、削除操作に別の承認を求める設定、本番環境から切り離した世代の保持です。

あわせて読みたい

ランサムウェア被害からの復旧とバックアップ設計。3-2-1とイミュータブルで「戻せる」備えをつくる

まとめ#

CVE-2026-87886は、Acronisのホスティングパネル向けバックアッププラグインに見つかった、ファイルパーミッションの不備によるローカル権限昇格です。攻撃元がローカルに限られる脆弱性ですが、多数の利用者アカウントを収容する共有ホスティングでは、その前提を満たし得る立場が多く存在します。3製品の修正ビルドは9月中旬までにそろっているため、該当するサーバーは更新を済ませ、cPanel & WHM向けを使っていた環境ではrootの永続化とバックアップ設定の変更がないかまで確かめてください。