重大 9.8 急ぎ度: 早めに

PowerProtect Data Domainに認証不備の脆弱性、修正版あり

Dellのバックアップ装置PowerProtect Data Domainに、特権アカウントを勝手に作られる脆弱性が見つかりました。DD OSの複数の系統が対象で、系統ごとに修正版が出ています。使っている組織は、まず版を確認し、更新の段取りを組んでください。

CVE-2026-86397 公開 0:05 生成 AI で作成

急ぎ度: 早めに

CVSS v3は9.8で、認証なしにネットワーク越しで悪用でき、系統ごとの修正版も出ているため、更新を前倒しで進める段階です。

関係があるか

PowerProtect Data Domainをバックアップの保存先として運用している組織が対象です。Feature ReleaseとLTSのどの系統を使っていても、表の範囲に入れば影響を受けます。

製品	影響を受ける版	直った版
PowerProtect Data Domain（Feature Release）	7.7.1.0から8.8まで	8.9.0.0以降
PowerProtect Data Domain（LTS2024）	7.13.1.0から7.13.1.80まで	7.13.1.90以降
PowerProtect Data Domain（LTS2025）	8.3.1.0から8.3.1.40まで	8.3.1.50以降
PowerProtect Data Domain（LTS2026）	8.6.1.0から8.6.1.20まで	8.6.1.30以降

確かめ方

1社内にData Domainが何台あるかを、資産台帳と、バックアップ担当者への聞き取りの両方で洗い出す。
2各装置で動いているDD OSの版を確認し、Feature ReleaseかLTSのどの系統かを突き合わせる。
3版が表の影響範囲にあれば、同じ系統の修正版が更新先になる。系統をまたぐ更新が必要かどうかは、Dellの告知（DSA-2026-416）で確かめる。

何が起きたか

Dell PowerProtect Data Domainに、認証の仕組みの不備による脆弱性があります。悪用されると、特権を持つアカウントが勝手に作られ、装置の制御を丸ごと奪われるおそれがあります。

Dellはこの脆弱性を重大（critical）と評価し、CVSS v3は9.8です。分類はCWE-862で、本来必要な権限の確認が抜けていることを示します。Dellの告知（DSA-2026-416）の題名からは、同じ告知に複数の脆弱性がまとめられているようです。

Dellは「できるだけ早く更新する」ことを推奨しています。

攻撃の流れ

1

装置に到達

攻撃者がネットワーク越しにData Domainの管理機能へ届く位置を得る。
2

認証を素通り

本来必要な確認が働かず、ログインしないまま操作を受け付けてしまう。
3

特権アカウント作成

攻撃者が自分用の特権アカウントを装置に作る。
4

装置を掌握

作ったアカウントで管理者として振る舞い、データや設定を操作する。

公開されている情報をもとにした流れの例です。

どう悪用されるか

悪用に認証は要りません。ネットワーク越しに装置へ届けば試せるうえ、利用者に何かを操作させる必要もなく、攻撃の複雑さも低いとされています。Dellは、認証されていない攻撃者がリモートからアクセスできる場合を想定しています。

悪用が成功すると、特権アカウントを作られ、装置を完全に制御されます。保存されたバックアップデータの読み取り、改ざん、削除、装置の停止のいずれも、起こり得る被害です。バックアップが使えなくなると、ほかの障害や攻撃から復旧する手段まで失います。

今すぐやること

1
稼働中の版を確認する

管理画面かコマンドラインでDD OSの版を確認し、影響範囲に入る装置を一覧にする。複数台あれば、外部から見える位置にある装置を先に確認する。
```
system show version
```
2

修正版に更新する

同じ系統の修正版に更新する。バックアップやレプリケーションの時間帯と重ならない日を選び、更新前に設定のバックアップを取っておく。
3

管理者アカウントの一覧を見直す

更新の前後で、管理者権限を持つアカウントの一覧を取り、心当たりのないものがないかを確認する。見つかったときは、更新だけで済ませずに、ログの保全とインシデント対応の窓口への連絡を優先する。

すぐ更新できないとき

すぐに更新できないときは、Data Domainの管理用の通信を、専用の管理ネットワークや特定の管理端末からだけに絞ります。インターネットや一般の業務用ネットワークから届かないようにするのが目安です。これは悪用の入口を狭める手当てで、脆弱性そのものは残ります。更新までの短期間の措置と考えてください。

背景

Data Domainは、企業のバックアップデータを重複排除して保存する専用装置です。サーバーや仮想基盤のバックアップが集まるため、管理者権限を握られると、保存データの流出に加えて、復旧に使う世代の削除や改ざんまで起こり得ます。ランサムウェアの攻撃者がバックアップを先に狙うことは広く知られており、バックアップ装置の管理機能を、保護の優先度が高い資産として扱う組織が増えています。

Data DomainのOSであるDD OSは、Feature ReleaseとLTSの複数の系統が並行して提供されます。今回も系統ごとに修正版の番号が異なるため、自社がどの系統かを先に押さえておかないと、更新先を誤りかねません。

よくある質問

Q.Data Domainを社内ネットワークの中だけで使っています。急がなくてもよいですか。

A.インターネットから直接届かない構成なら、差し迫った危険は下がります。ただ、社内の端末が1台でも侵害されていると、そこから装置に届く可能性があります。社内に管理用の通信を絞る仕組みがなければ、外部に公開している場合と同じ順序で更新を計画するのが安全です。

まだ分かっていないこと

実際の攻撃で悪用されたかどうかは公表されておらず、攻撃者や被害の事例も示されていません。
どの管理インタフェースやサービスが脆弱性の入口になるのかは、告知から読み取れる範囲では詳しく示されていません。
更新が難しい場合にDellが案内する公式の回避策があるかは分かっていません。Dellの告知（DSA-2026-416）の更新を確認してください。

この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版	直った版
Dell	PowerProtect Data Domain	8.9.0.0 or later 未満 7.13.1.90 or later 未満 8.3.1.50 or later 未満 8.6.1.30 or later 未満	8.9.0.0 or later 7.13.1.90 or later 8.3.1.50 or later 8.6.1.30 or later

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

Dell PowerProtect Data Domain, Feature Release versions 7.7.1.0 through 8.8, LTS2024 release versions 7.13.1.0 through 7.13.1.80, LTS2025 release versions 8.3.1.0 through 8.3.1.40, LTS2026 release versions 8.6.1.0 through 8.6.1.20, contain an Improper Authentication vulnerability. An unauthenticated attacker with remote access could potentially exploit this vulnerability, leading to privileged account creation. This is a critical severity vulnerability as it allows an attacker to take complete control of the system. Dell recommends customers to upgrade at the earliest opportunity.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory