Quest NetVaultに脆弱性10件、CVE-2026-9787で乗っ取りも 14.0.2へ更新を

企業のサーバーやデータを丸ごと守るためのバックアップソフト「Quest NetVault Backup」に、まとめて10件の深刻な脆弱性が見つかりました。いずれも危険度は10点満点中8.8（高）。ログインを回り込んで侵入の起点を作れるもの（2件）と、サーバーを乗っ取って自由にコマンドを実行できるもの（CVE-2026-9787）が含まれます。脆弱性を発見・報告したのは、世界最大級の脆弱性買い取りプログラムを運営するトレンドマイクロのZero Day Initiative（ZDI）で、2026年6月24日に10件が一斉公開されました。

対処は、修正版であるNetVault Backup 14.0.2への更新です。ZDIとNVD（米国の脆弱性データベース）はいずれも、開発元Questの14.0.2のリリースノートを修正先として案内しています。バックアップ製品は、社内のあらゆるデータに手が届く「最後の砦」であり、攻撃者にとっては最も奪いたい標的です。とくに管理画面をインターネットに露出しているサーバーは、最優先で更新してください。

【2026年8月17日追記】2ヶ月経っても、悪用は確認されていません

公開から約2ヶ月が過ぎたので、現状を整理しておきます。この10件が実際の攻撃に使われたという報告は、2026年8月17日時点で確認されていません。米CISA（米国の政府機関で、国内の重要インフラのサイバー防御を担当します）が公開している実際に悪用が確認された脆弱性の一覧（KEV）の2026年8月14日版カタログと照合しましたが、10件はいずれも収録されていません。新しい実証コード（PoC＝攻撃が成立することを示すサンプルコード）の公開も、Questからの追加アドバイザリも確認されていません。NVDのCVE-2026-9787のページは2026年6月25日公開・6月26日最終更新のままで、それ以降の更新はありません。

悪用される確率の目安も、低い水準にとどまっています。EPSS（今後30日以内にその脆弱性が実際に悪用される確率を統計的に推定する指標）は、CVE-2026-9787で0.0140、つまり1.4%です。順位でいえば全体の70.25パーセンタイルにあたります。数字が示しているのは「まだ攻撃者の関心が集中していない」という状態であって、危険が消えたという意味ではありません。ただ、いま緊急の夜間メンテナンスを組む段階ではない、とは言えます。やるべきことは6月から変わりません。通常の変更管理の枠の中で、計画的に14.0.2へ上げてください。

あわせて1点、訂正します。初版では、10件のうち最も危険なCVE-2026-9787を「認証回避」の代表例として読める書き方をしていました。正確には、CVE-2026-9787はOSコマンドインジェクション（CWE-78）によるSYSTEM権限のリモートコード実行であり、認証バイパスの脆弱性ではありません。CVSSは8.8、ベクタは AV:N/AC:L/PR:L/UI:N で、PR:L が示すとおり権限の低いアカウントが1つ必要です。ZDI-26-376の記述は「認証は必要だが、既存の認証機構はバイパス可能」というもので、認証そのものが不要という意味ではありません。10件のうち純粋な認証バイパスは CVE-2026-9780 と CVE-2026-7569 の2件で、どちらもXSS（Webページに悪意あるスクリプトを埋め込む手口）を経由します。この2件が入口をこじ開け、CVE-2026-9787が最高権限を取る。そう読むのが正しい形です。

なお、初出時点では10件とZDIアドバイザリ番号の対応表を載せていませんでした。後述の「10件の内訳とZDIアドバイザリ番号」に追加しています。

Quest NetVault Backupとは何か、なぜ狙われるのか

Quest NetVault Backupは、米Quest Software（旧デル傘下）が提供する企業向けのバックアップ・災害復旧ソフトです。物理サーバー、仮想マシン（VMware・Hyper-V・Nutanixなど）、クラウド、Microsoft 365やデータベース（SQL Server・Oracle）まで、社内のあらゆるデータをまとめて保護・復元します。中堅から大企業まで幅広く使われ、扱うデータ量は数十ペタバイト規模にもなります（現在は「NetVault Plus」として提供）。

バックアップ製品が狙われると被害が大きいのには理由があります。バックアップは社内のほぼすべてのデータを集約しており、その管理サーバーを握られればデータの中身を盗み出すことも、復元できないように破壊することもできるからです。近年のランサムウェア攻撃でも、攻撃者はまずバックアップを潰してから本体を暗号化し、「復旧したければ身代金を払え」と迫る手口が定番になっています。国内製造業を襲ったランサムウェア被害でも、バックアップの扱いが明暗を分けました。今回の10件は、その「最後の砦」そのものに穴が開いていたという話です。

この穴を狙うのは誰で、何を持っていくのか

今回の脆弱性が怖いのは、入口が「いつも使っている管理画面」だという点です。誰がここを踏み台にしてくるのかを先に整理します。

狙ってくるのは、社内ネットワークに入り込んだ攻撃者や、管理画面をインターネットに露出したサーバーを探し回るランサムウェアの実行犯です。彼らが欲しいのは、バックアップに溜め込まれた顧客情報・財務データ・設計図といった会社の中身そのものと、それを人質に取るための「復元できない状態」です。今回見つかった穴のうち2件は、本来必要なはずのログインを回り込めるため、正しいIDやパスワードを持っていない相手でも、細工したリンクを管理者に踏ませるだけで侵入の足がかりを作れます。

残る8件は、いったん管理画面に到達できれば、入力欄に不正な命令を紛れ込ませてサーバー上で攻撃者の好きなプログラムを実行することにつながります。この8件についてZDIが書いているのは「認証は必要だが、既存の認証機構はバイパス可能」という評価で、認証が最初から不要という意味ではありません。最悪の場合、サーバーの最高権限（SYSTEM）が奪われ、バックアップサーバーは攻撃者の道具に変わります。一度そこを握られれば、その先につながった本番システムやほかのサーバーへも被害が広がりかねません。

「危険度8.8」という数字は技術的な深刻さの目盛りにすぎません。運用する企業にとって本当に失われるのは、預かっていたデータと、いざというときに戻せるはずだった「復旧の保険」そのものです。バックアップを守るための仕組みが、逆に侵入経路になってしまうのが、この10件の本質です。

10件の脆弱性の全体像

10件は、攻撃の入口と手口で3つのグループに分けられます。下の早見表で全体像を確認してください。いずれもCVSS 8.8（高）です。

「XSS」は、Webページに悪意あるスクリプト（小さな命令）を紛れ込ませる手口です。今回の2件は本来のログインを回り込めるため、攻撃の起点になります。「SQL注入」は、データを検索する命令文に不正な命令を混ぜてサーバーを操る手口で、ここから最終的にプログラム実行（RCE＝リモートコード実行）まで到達します。「コマンド注入」は、サーバーに直接命令を実行させる最も直接的な手口です。SQL注入とコマンド注入の8件は、いずれも管理用の通信（JSON-RPCと呼ばれる仕組み）の処理に問題があります。

表の「ログイン」欄にある「要（回避可）」は、ZDIの「認証は必要だが、既存の認証機構はバイパス可能」という記述をそのまま表したものです。認証が最初から不要という意味ではなく、CVSSベクタでも PR:L（低い権限が必要）と評価されています。ログインなしで成立するのは、XSSの2件だけです。

10件の内訳とZDIアドバイザリ番号

10件はZDI-26-368からZDI-26-377までの連番で採番され、すべて2026年6月24日に公開されました。修正版はいずれも14.0.2です。手元の資産管理台帳や社内チケットとつき合わせる際は、CVE番号よりZDI番号のほうが原文にたどり着きやすいので、対応表を置いておきます。

ZDIのアドバイザリには、報告から公開までの経緯も載っています。最も危険なZDI-26-376（CVE-2026-9787）は、2025年9月24日にベンダーへ報告され、公開は2026年6月24日。開示までに9ヶ月かかっています。裏を返せば、この10件は公開の9ヶ月前から存在していた穴だということです。公開されたから危険になったのではなく、公開されて初めて利用者が対処できるようになった、と捉えるのが実態に近いはずです。

個別の脆弱性

CVE-2026-9787: コマンド注入でSYSTEM権限奪取（最も危険）

ログ処理を担う「NVBULogDaemon」が、利用者から受け取った文字列を十分に確認せずにシステムの命令として実行してしまう欠陥です（CWE-78：OSコマンドインジェクション）。攻撃が成立すると、サーバーの最高権限であるSYSTEMで任意の命令を実行できます。CVSSは8.8、ベクタは AV:N/AC:L/PR:L/UI:N です（ZDI-26-376）。これは認証バイパスの脆弱性ではありません。権限の低いアカウントが1つ必要で、ZDIが添えているのは「認証は必要だが、既存の認証機構はバイパス可能」という但し書きです。分類としてはリモートコード実行であり、10件の中で実害が最も大きいものです。

CVE-2026-7569 / CVE-2026-9780: 認証を回り込むXSS

管理画面の「viewclient」（CVE-2026-7569）と「addclient3」（CVE-2026-9780）の2ページで、入力値の確認不足により悪意あるスクリプトを埋め込めます（CWE-79）。どちらもログインなしで悪用でき、本来の認証を突破する起点になります。10件のうち、認証バイパスに分類されるのはこの2件だけです。利用者が細工されたページを開く操作が必要ですが、ほかの脆弱性と組み合わせることでSYSTEM権限での実行まで連鎖し得ます（ZDI-26-369／ZDI-26-377）。

CVE-2026-7570 / 9781 / 9782 / 9783 / 9784 / 9785 / 9786: SQL注入からのコード実行（7件）

残る7件は、管理用通信を処理する複数の部品で、入力された文字列を確認せずにデータベースへの命令文に組み込んでしまう欠陥です（CWE-89：SQLインジェクション）。対象はダッシュボード（NVBUDashboard：CVE-2026-7570・9786）、装置やメディアの管理部分（NVBURASDevice・NVBUDeviceDrive・NVBURemovableMedia・NVBULibraryPort・NVBULibrarySlot）に分かれます。いずれも最終的にサーバー上でのコード実行（NETWORK SERVICE権限）につながり、認証は必要だが回避可能とされています。同じ種類の欠陥が複数の入力箇所に共通して存在していた形です。

自分は影響を受けるのか

影響を受けるのは、Quest NetVault Backup（14.0.x系）を運用している組織です。ZDIとNVDの公開情報では、検証されたバージョンとしてXSS2件が14.0.1.7、注入系8件が14.0.0.19と記載されています（各報告がそれぞれ1つのビルドで検証しているため番号が分かれています。これより前のバージョンが安全という意味ではありません）。下の表でリスクの大きさを確認してください。

なお、米CISAの悪用が確認された脆弱性の一覧（KEV）に、今回の10件は現時点で登録されていません。実際に攻撃された形跡は報告されていないものの、バックアップ製品やファイル転送・VPN機器は、過去にもKEV入りが相次いだ「狙われやすい分野」です。公開された以上、攻撃の試みが増える前に手を打つべきです。

どう対処すればいいのか

対処の基本は、NetVault Backupを14.0.2以降へ更新することです。14.0.2はQuestの公式リリースノートで「Web UIのセキュリティ修正」を含む版として案内されており、ZDIとNVDの全10件もこのリリースノートを修正先として参照しています。導入済みの環境では、まず使用中のバージョンを確認し、14.0.2への適用計画を立ててください。

すぐに更新できない場合の応急策としては、管理画面（Web UI）をインターネットから切り離す、アクセスできる端末やネットワークを限定する、管理者が出所不明のリンクを開かないよう周知する、といった対策でリスクを下げられます。今回のXSS2件は「管理者にリンクを踏ませる」ことが起点になるため、この周知は有効です。ただし、これらはあくまで時間稼ぎであり、根本対応は更新です。バックアップサーバーは攻撃者にとって最優先の標的であることを念頭に、ほかのインフラ機器より優先して対応する価値があります。

確認済みの事実と、未確認の点

よくある質問

Q. すぐに被害が出るのでしょうか？

A. 現時点で実際に攻撃された形跡は報告されておらず、CISA KEVにも登録されていません。ただし脆弱性の詳細が公開されたため、これから攻撃の試みが増える可能性があります。とくに管理画面を外部公開している場合は早急な更新が必要です。

Q. ログインが必要なら、社内だけなら安全ですか？

A. 安心はできません。10件のうち2件はログインを回り込めるとされ、残る8件もZDIは認証を回避可能と評価しています。また社内ネットワークに侵入した攻撃者が、別のサーバーへ被害を広げる踏み台として悪用する恐れもあります。

Q. どのバージョンに更新すればよいですか？

A. 14.0.2以降です。ZDIとNVDはいずれもQuestの14.0.2リリースノートを修正先として案内しています。なおQuest側のリリースノートでは該当のCVE番号が「採番待ち」と表記されていますが、修正版が14.0.2であることは各情報源で一致しています。

まとめ

Quest NetVault Backupで見つかった10件の脆弱性は、いずれも危険度8.8で、認証の回避からサーバーの乗っ取り（最高権限SYSTEMでのコード実行）までを許す深刻なものです。バックアップは社内データの集約点であり、ランサムウェア攻撃で真っ先に狙われる「最後の砦」です。その守りの仕組みが侵入経路に変わる前に、修正版14.0.2への更新を急ぐべきです。

すぐに更新できない場合は、管理画面をインターネットから切り離し、アクセス範囲を絞ることでリスクを下げられます。現時点で悪用の報告はないものの、詳細が公開された以上、対応が早いほど安全です。自社が使っているソフトの版数とサポート状況を、この機会に棚卸ししておくことをおすすめします。

参照元

• ▸Zero Day Initiative - Published Advisories（ZDI-26-368〜377）
• ▸ZDI-26-376 - NVBULogDaemon コマンドインジェクション（CVE-2026-9787）
• ▸ZDI-26-369 - addclient3 XSS（CVE-2026-9780）
• ▸NVD - CVE-2026-9787 Detail
• ▸NVD - CVE-2026-7569 Detail
• ▸Quest - NetVault Backup 14.0.2 リリースノート
• ▸Quest - NetVault Plus 製品ページ
• ▸ZDI-26-377 - viewclient XSS（CVE-2026-7569）
• ▸CISA - Known Exploited Vulnerabilities Catalog（KEV、2026年8月14日版で照合）
• ▸FIRST - EPSS（悪用可能性スコアの仕様）