アクロニスのcPanel・Plesk向けバックアッププラグインに脆弱性、標的型攻撃での悪用が確認される

要点

• アクロニス（Acronis）が提供するサーバー管理環境向けバックアッププラグインにおいて、高深刻度の脆弱性が実際の攻撃で悪用されていることが明らかになった。

• 脆弱性「CVE-2026-87886」（CVSSスコア 7.8）は不適切なファイル権限に起因し、低権限の攻撃者によるローカル権限昇格を許す恐れがある。

• 影響を受けるのはLinux版の「cPanel & WHM」向けプラグインおよび「Plesk」向け拡張機能で、修正パッチが提供されている。

• 同社は限定的な標的型攻撃での悪用を検知したとして、全ユーザーに対して修正プログラムの即時適用を強く呼びかけている。

• サイバーセキュリティおよびデータ保護ソリューションを提供するアクロニス（Acronis）は2026年9月16日、同社のバックアッププラグインに存在する高深刻度の脆弱性が、実際の攻撃（イン・ザ・ワイルド）で悪用されていることを警告した。

• 対象となっているのは、サーバー管理ソフトウェアであるcPanelおよびWeb Host Manager（WHM）、ならびにPleskの環境に導入されているプラグイン群であり、同社は対象システムの管理者に向けて速やかなアップデートを促している。

脆弱性の概要と想定されるリスク

今回報告された脆弱性は「CVE-2026-87886」として追跡されており、脆弱性の深刻度を評価する指標であるCVSS（共通脆弱性評価システム）のスコアは「7.8（High）」と評価されている。

問題の本質は、ソフトウェアの設計における不適切なファイルアクセス権限の設定にあるという。この不備により、影響を受けるLinuxシステム上でローカル権限昇格（システム内の一般ユーザーなどの低権限アカウントが、より上位の管理者権限などを不正に奪取すること）が発生する可能性がある。

アクロニスによると、この欠陥が悪用された場合、すでにサーバー上に低権限でアクセス可能な攻撃者が自身の権限を不正に引き上げることが可能になるという。その結果、本来許可されていない操作を実行されたり、任意のコードを実行されたりする危険性があり、サーバー上で稼働するアプリケーションの機密性やデータの完全性が損なわれる恐れがあると説明されている。

影響を受ける対象製品と修正バージョン

本脆弱性は、Linux環境下で動作する複数のサーバー管理ツール向けプラグインに影響を及ぼす。影響を受ける製品およびバージョンと、修正状況は以下のとおりである。

• cPanel & WHM向け Acronis Backup plugin（Linux版）
  • 影響を受けるバージョン：ビルド「1.9.3.1021」より前のバージョン
  • 修正バージョン：「1.9.3 HF3」にて修正済み
• Plesk向け Acronis Backup extension（Linux版）
  • 影響を受けるバージョン：ビルド「1.8.11.638」より前のバージョン

cPanelやPleskは、ウェブサーバーの設定や運用を一括して行うための代表的なコントロールパネルソフトウェアである。今回の脆弱性はいずれもLinux版のモジュールに関連しており、これらの環境でバックアップ連携機能を利用しているシステムが直接の対象となる。

標的型攻撃での悪用とアクロニスの警告

アクロニスは修正版である「1.9.3 HF3」向けに公開したセキュリティアドバイザリの中で、本件の重要性を強調している。

同社は「今回のアップデートには高深刻度のセキュリティ脆弱性1件の修正が含まれており、すべてのユーザーが直ちにインストールする必要がある」と説明した上で、「限定的かつ標的を絞った攻撃において、この脆弱性の悪用が実際に確認されている」と明かした。

脆弱性の修正パッチが提供される一方で、攻撃の全容に関しては現時点で明らかにされていない部分も多い。攻撃活動を実行している背後組織やその最終目的、具体的な悪用の手口に関する詳細は公表されておらず、これらの不正な活動がいつ検知されたのか、またいつから実際の攻撃に悪用されていたのかといったタイムラインについても依然として不明な状態が続いている。

アクロニスはプラグインを利用している顧客に対し、システムを保護するために最新の修正版へできる限り早くアップデートすることを推奨している。