無料バックアップソフト『Duplicati』に管理者権限を奪われる脆弱性 CVE-2026-16157、既定以外の場所に入れた場合は要対処
多くの人が無料で使うバックアップソフト『Duplicati』のWindows版に、パソコンの最も強い権限（管理者権限）を奪われかねない弱点が見つかりました。ただし危険なのは、初期設定以外の場所にインストールした場合に限られます。標準の場所に入れていれば影響はほぼありません。対処は標準の場所への入れ直しか権限設定の見直しです。
目次
多くの人が無料で使うバックアップソフト『Duplicati』のWindows版に、パソコンの最も強い権限（管理者権限）を奪われかねない弱点が見つかりました。ただし危険なのは、初期設定以外の場所にインストールした場合に限られます。標準の場所に入れていれば影響はほぼありません。対処は標準の場所への入れ直しか権限設定の見直しです。
パソコンのデータを自動でバックアップする無料ソフトとして人気のDuplicati（デュプリカティ）のWindows版に、パソコンの最も強い権限（管理者権限）を奪われかねない弱点が見つかりました。2026年7月23日に国内の公的データベース「JVN（JVNVU#98636554）」で公開され、管理番号「CVE-2026-16157」が割り当てられています。
先に安心材料をお伝えします。この弱点で危険になるのは、Duplicatiを初期設定とは違う場所（フォルダ）にインストールした場合だけです。多くの人が選ぶ標準の場所（C:\Program Files\Duplicati 2\）に入れているなら、影響はほとんどありません。しかも悪用にはそのパソコンを直接操作できる状態が前提で、インターネット越しにいきなり乗っ取られる類のものではありません。条件と対処を落ち着いて確認していきましょう。
無料バックアップソフト「Duplicati」で何が起きたのか
Duplicatiは、写真や書類などのデータを暗号化してクラウドや外付けドライブへ自動保存できる、無料で使えるバックアップソフトです。個人の自宅パソコンから小規模な事務所まで、幅広く使われています。
今回の問題は、WindowsでDuplicatiを標準以外のフォルダにインストールしたとき、そのフォルダのアクセス権限（誰が読み書きしてよいかの設定）がきちんとかからない点にあります。Windowsの標準の場所は、一般利用者が勝手に書き込めないよう最初から守られています。ところが自分で別の場所を選んでインストールすると、その保護が効かず、権限の低い一般利用者でもそのフォルダにファイルを書き込めてしまうのです。
やっかいなのは、Duplicatiのインストーラー（MSI形式）が、このフォルダにあるプログラムをWindowsで最も強い「SYSTEM」という権限で自動実行するサービスとして登録することです。攻撃者が悪意あるプログラム部品（DLLファイル）をこのフォルダに置いておくと、サービスが動くタイミングでそれが読み込まれ、SYSTEM権限で実行されてしまいます。発見と報告はCERT/CCの脆弱性情報（VU#847406）にまとめられており、Valton Tahiri氏が発見、Bob Kemerer氏が文書化を担当しました。
脆弱性の概要（CVE-2026-16157）
要点を表にまとめました。
| 項目 | 内容 |
|---|---|
| 管理番号 | CVE-2026-16157 （JVNVU#98636554／VU#847406） |
| 対象 | Duplicati v2.3.0.1（Windows版） |
| 弱点の種類 | アクセス権限の割り当て不備 （不適切な権限割り当て） |
| 起こりうること | 一般利用者が最も強いSYSTEM権限を奪う （ローカルでの権限昇格） |
| 条件 | 標準以外のフォルダにインストール＋ そのパソコンを操作できること |
| 危険度 | ローカルの権限昇格 （CVSS値は公開情報に未掲載） |
| 悪用報告 | 現時点でなし |
| 対策 | 標準フォルダへ入れ直す／ 権限設定を手動で見直す |
| 公開日 | 2026年7月22日（CERT/CC） |
この弱点は、インターネット越しに直接突かれるものではなく、すでにそのパソコンを一般利用者として使える状態から、さらに強い権限へと"格上げ"する種類（ローカルでの権限昇格）です。CERT/CCの情報では危険度の数値（CVSS）は示されていませんが、いったん条件がそろえばパソコンを完全に掌握されうるため、対象に当てはまる場合は早めの対処が安全です。
誰が何のために狙うのか
この弱点を突こうとするのは、すでにそのパソコンを一般利用者として使える立場にいる人物です。たとえば、権限を絞られた社内アカウントを持つ内部の人間や、別の手口でいったんパソコンに入り込んだものの、まだ管理者権限までは持っていない攻撃者を想定します。いきなり外部から誰かのパソコンを乗っ取れるものではありません。
その人物は、標準以外の場所に入ったDuplicatiのフォルダを見つけると、そこへ細工したプログラム部品を置き、サービスが動くのを待ってパソコンの最高権限を手に入れます。いったんSYSTEM権限を握られると、そのパソコンの中はほぼ何でもできる状態になります。設定の書き換え、監視ソフトの停止、他の利用者のデータ閲覧、別のウイルスの常駐など、被害は一気に広がります。
バックアップソフトは「データを守るための味方」ですが、強い権限で動く常駐サービスは、裏を返せば攻撃者にとって格好の"昇格ルート"にもなり得ます。似た構図は他のバックアップ製品でも起きており、たとえば『Quest NetVault』でも認証回避などの脆弱性が報告されています。自宅サーバー用のソフトが狙われた点ではメディアサーバー『Jellyfin』の一件とも通じるところがあります。
なぜ「置き場所」で危険度が変わるのか
今回いちばん分かりにくいのが、「同じソフトなのに、インストールした場所で危険度が変わる」という点です。理由はWindowsの権限の仕組みにあります。
Windowsの標準のプログラム置き場であるC:\Program Files\は、一般利用者が勝手に中身を書き換えられないよう、最初から厳しいアクセス権限で守られています。ここにDuplicatiを入れれば、悪意ある部品を後から差し込まれる余地はほぼありません。
ところが、利用者が「Cドライブ直下」や「デスクトップ近くの自作フォルダ」など標準以外の場所を選ぶと、そのフォルダは一般利用者でも書き込める緩い設定のまま残ることがあります。Duplicatiのインストーラーはこの緩いフォルダを守り直さないため、書き込める誰かが悪意ある部品を置ける状態になります。そこへ最高権限で動くサービスがプログラムを読みに来る——この組み合わせが、権限を飛び越えられる抜け穴を生みます。
技術的に見るとどうなっているのか
技術的には、いわゆる「DLL植え込み（DLLハイジャック）」と「安全でないサービス実行パス」が重なった問題です。DLLは、プログラムが動くときに読み込む部品ファイルのことです。Windowsのサービスが、書き込み権限の緩いフォルダからDLLや実行ファイルを読み込む設計になっていると、そのフォルダに書き込める利用者が中身をすり替えることで、サービスの権限（今回はSYSTEM）でコードを実行できてしまいます。
Duplicatiの場合、MSIインストーラーがLocalSystem（SYSTEM相当）で動くサービスを登録し、その実行元が標準以外だとアクセス権限の保護から外れます。分類上は「不適切な権限割り当て」に当たり、CERT/CCは対策として標準フォルダへのインストール、または同等のアクセス権限（ACL）を手動で設定することを挙げています。CERT/CCのVulnerability Noteの公開時点で、開発元からの正式な見解やパッチの提供状況は「不明」とされています。
なお、この種の弱点は「攻撃の起点」ではなく「侵入後の権限拡大」に使われるのが典型です。攻撃者はまず別の手段でパソコンに足がかりを作り、そのうえで今回のような穴を使って管理者級の権限へ駆け上がります。だからこそ、単体では地味に見えても、他の攻撃と組み合わさると被害が大きくなります。最新情報はCVE公式レコードでも確認できます。
あなたのDuplicatiは対象か
分かれ目は「インストール先が標準かどうか」の一点です。次の順で確認してください。
- インストール時に場所を変えず、そのまま進めた → C:\Program Files\Duplicati 2\ に入っているはずで、まず対象外です。
- 「Cドライブ直下」「ユーザーフォルダ内」「Dドライブの自作フォルダ」など、自分で場所を指定した覚えがある → 対象になり得ます。優先して確認してください。
- そもそもWindows版を使っていない（LinuxやDocker等） → 今回の問題はWindowsのインストーラー挙動が起点のため、当てはまりません。
インストール先は、Windowsの「設定」→「アプリ」からDuplicatiを探すか、サービス管理画面でDuplicatiサービスの実行ファイルの場所を見れば確認できます。対象バージョンとして挙がっているのはv2.3.0.1ですが、置き場所が標準以外であれば、バージョンにかかわらず設定を見直しておくのが安全です。
いますぐやるべき対処
対処はシンプルです。上から順に検討してください。
- 標準フォルダへ入れ直す。いったんアンインストールし、場所を変えずに C:\Program Files\Duplicati 2\ へ再インストールするのが最も確実です。
- 置き場所を変えられない場合は、そのフォルダの権限を締める。一般利用者が書き込めないよう、標準の場所と同等のアクセス権限（ACL）を手動で設定します。
- 開発元の修正版を待って更新する。公開時点で正式パッチの状況は不明のため、Duplicati公式のリリース情報を確認し、修正版が出たら速やかに適用します。
- パソコンを共有している環境では優先度を上げる。一般利用者アカウントが複数ある端末ほど、この弱点が生きやすいため先に対処します。
個人で1台だけ、自分しか使わないパソコンに標準の場所で入れているなら、慌てて何かする必要はありません。念のためインストール先だけ確認しておけば十分です。
落ち着いて対処すれば怖くない
整理します。今回のCVE-2026-16157は、成立に「標準以外の場所にインストール」「そのパソコンを操作できる」という二つの前提が必要な、ローカルの権限昇格です。インターネット越しに誰のパソコンでも乗っ取れるものではなく、悪用の報告も今のところありません。標準の場所に入れて自分だけで使っているなら、過度に不安になる必要はありません。
一方で、複数人が使う端末や、事情があって別の場所へインストールしている場合は、放置しないのが賢明です。強い権限で常駐するソフトは、攻撃者にとって権限を駆け上がる足場になり得ます。まずは自分のDuplicatiがどこに入っているかを確認し、標準以外なら入れ直すか権限を締める——それだけで、この穴はふさげます。無料で頼れるバックアップソフトだからこそ、置き場所という基本を一度見直しておきましょう。
よくある質問
Q. 標準の場所にインストールしていれば安全ですか？
A. はい。標準の C:\Program Files\Duplicati 2\ は一般利用者が書き込めないよう守られているため、この弱点の前提が成り立ちません。念のためインストール先だけ確認しておけば安心です。
Q. この弱点でバックアップしたデータが盗まれますか？
A. これはデータを直接抜き取る弱点ではなく、パソコンの最も強い権限を一般利用者が奪う「権限昇格」の問題です。ただし最高権限を握られればパソコン内のほぼ全てに手が届くため、結果的にデータも危険にさらされます。
Q. LinuxやDockerで使っています。影響はありますか？
A. 今回の問題は、WindowsのMSIインストーラーがサービスを登録する際の挙動が起点です。WindowsのMSIで標準以外の場所に入れたケースが対象で、LinuxやDocker運用は当てはまりません。
Q. すでに攻撃されている報告はありますか？
A. 2026年7月の公開時点で、この弱点が実際に悪用されたという報告は確認されていません。ただし条件がそろう端末では被害が大きくなり得るため、対象に当てはまる場合は早めの対処が安全です。
参照元
堀川 慎
Backend Engineer / AWS / Django / Go