脆弱性 / VULNERABILITY / HOSTING
AcronisのcPanel/WHM向けバックアッププラグインに深刻な脆弱性 — 野外での悪用を確認、1.9.3への即時更新を呼びかけ
Acronisは、サーバー管理パネルcPanel/WHM向けの「Acronis Backup plugin for cPanel & WHM」に深刻度が高い（high）セキュリティ脆弱性が見つかり、野外で悪用されていることを確認したとして、修正版1.9.3への即時更新を利用者に呼びかけた。同じアドバイザリ「SEC-10986」は、Plesk向け拡張機能の更新1.8.11にも関連している。同社は脆弱性の詳細を後日公開するとしている。
要点
- Acronisは2026年9月11日、サーバー管理パネルcPanel/WHMに統合して使う**「Acronis Backup plugin for cPanel & WHM」について、深刻度が高い（high）脆弱性1件を修正する更新バージョン1.9.3**を公開した。
- 同社の更新情報には、**「この脆弱性の野外での悪用が確認されている」との記述がある。Acronisは「全利用者はただちにこの更新をインストールするよう強く求められる」**として、即時適用を呼びかけている。
- この脆弱性についてAcronisは、影響を受けるバージョン、CVSS値、CVE番号を執筆時点で公表していない。同社は「詳細は後日公開する」としている。
- 同じアドバイザリID**「SEC-10986」は、Plesk向けの「Acronis Backup extension for Plesk」の更新1.8.11**（2026年9月10日公開）からも参照されている。
Acronisが発表した内容
Acronisはアドバイザリデータベース「Acronis Advisory Database」で、2つの製品向けプラグインの更新情報を相次いで公開した。
1つ目はcPanel/WHM向けの「Acronis Backup plugin for cPanel & WHM」で、更新情報UPD-2609-3d72-20a7として**2026年9月11日 12:30（UTC、日本時間では同日21:30）**に公開された。Acronisはこの更新について、次のように記している（原文は英語）。
「この更新には、深刻度が高い（high）セキュリティ脆弱性1件の修正が含まれる。この脆弱性の野外での悪用が確認されている。全利用者はただちにこの更新をインストールするよう強く求められる。詳細は後日公開する」
2つ目はPlesk向けの「Acronis Backup extension for Plesk」で、更新情報UPD-2609-efb0-50b2として**2026年9月10日 13:30（UTC、日本時間では同日22:30）**に公開された。こちらは「深刻度が高い（high）セキュリティ脆弱性1件の修正を含み、全利用者に推奨される」と記されている。野外での悪用に触れた記述は、このPlesk向けの更新情報にはない。
いずれの更新情報も、参照するアドバイザリIDとして**「SEC-10986」**を挙げている。cPanel/WHM向けプラグインとPlesk向け拡張機能の2製品の更新が、同じアドバイザリに紐づけられていることになる。
「悪用の兆候なし」から「悪用を確認」への変化
Acronisは更新情報の中で、野外での悪用の状況を毎回明記している。今回の記述が過去の同種の更新と異なるのは、過去の更新では「このページに記載された脆弱性について野外での悪用の兆候は見ていない」としていたのに対し、今回のcPanel/WHM向け更新では「野外での悪用が確認されている」と記述が変わった点である。
Acronisのアドバイザリデータベースで確認できる、cPanel/WHM向けプラグインの過去のセキュリティ更新は次のとおりである。
| 公開日 | バージョン | 深刻度の内訳 | 野外での悪用に関する記述 |
|---|---|---|---|
| 2023年8月28日 | 1.8.0 | クリティカル1件 | 悪用の兆候は見ていない |
| 2024年9月4日 | 1.8.3 | 中1件・低1件 | 悪用の兆候は見ていない |
| 2025年2月25日 | 1.9.1 | 中2件・低1件 | 悪用の兆候は見ていない |
| 2026年9月11日 | 1.9.3 | 高（high）1件 | 野外での悪用を確認、即時更新を要請 |
影響を受ける製品と修正版
Acronisが公表した更新情報から確認できる内容は、次のとおりである。
| 製品 | 修正版 | 公開日（UTC） | Acronisの記述 |
|---|---|---|---|
| Acronis Backup plugin for cPanel & WHM | 1.9.3 | 2026年9月11日 | 深刻度が高い（high）1件を修正。野外での悪用を確認し、全利用者に即時適用を要請 |
| Acronis Backup extension for Plesk | 1.8.11 | 2026年9月10日 | 深刻度が高い（high）1件を修正。全利用者に推奨 |
判明していない点も多い。Acronisが参照しているアドバイザリ「SEC-10986」のページは、執筆時点（2026年9月14日）で内容が公開されておらず、影響を受けるバージョン（1.9.3より前のどの版が該当するか）、CVSS値、CVE番号、脆弱性の種類（認証回避や権限昇格など）はいずれも公表されていない。Acronisは更新情報の中で「詳細は後日公開する」としているため、これらの情報は続報で明らかになる見込みである。
なお、米CISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）の「既知の悪用脆弱性（KEV）」カタログ（2026年9月11日版）に、今回の脆弱性は登録されていない。同カタログに掲載されているAcronis製品の項目は、2024年7月29日に追加されたAcronis Cyber Infrastructureに関する1件のみである。
cPanel/WHMとAcronisのバックアッププラグインとは
cPanel/WHMは、Webホスティング事業者やサーバー管理者が使うサーバー管理パネルである。WHMがサーバー管理者向けの管理画面、cPanelが顧客ごとのサイト管理画面にあたり、Webサイトやメール、データベース、ファイルをブラウザから管理できる。レンタルサーバー事業者だけでなく、自社でサーバーを運用する組織が管理画面として採用する場合もある。
Acronis Backup plugin for cPanel & WHMは、このパネルに組み込んで使うバックアップ用のプラグインである。管理画面からサイトやメール、データベースのバックアップと復元を操作できるようにするもので、ホスティング事業者が顧客向けのバックアップ機能として導入することが多い。Plesk向けの「Acronis Backup extension for Plesk」も同じ位置づけの製品である。
そのため、cPanel/WHMを使うサーバーを運用している組織は、このプラグインを導入しているかどうかを確認する必要がある。プラグインを導入していれば、今回の脆弱性の影響を受ける可能性がある。
Acronisが示す対応
Acronisが公表している対応は、修正版への更新である。
- cPanel/WHM向け：「Acronis Backup plugin for cPanel & WHM」を1.9.3以降へ更新する。Acronisは「全利用者はただちにこの更新をインストールするよう強く求められる」としている。
- Plesk向け：「Acronis Backup extension for Plesk」を1.8.11以降へ更新する。Acronisはこの更新を「全利用者に推奨する」としている。
Acronisの更新情報には、更新以外の回避策（設定変更など）は記されていない。脆弱性の内容や影響バージョンが未公表であるため、更新以外の回避策の要否は現時点では判断できない。同社が「詳細は後日公開する」としているアドバイザリ**「SEC-10986」**の公開情報を確認する必要がある。
読者が確認すべきこと
- cPanel/WHMで「Acronis Backup plugin for cPanel & WHM」を使っているかを確認する。使っていない場合、今回の脆弱性の影響は受けない。
- 使っている場合は、導入しているバージョンが1.9.3以降かどうかを確認する。1.9.3より前であれば、Acronisが即時適用を求める1.9.3以降への更新を検討する。Pleskで「Acronis Backup extension for Plesk」を使っている場合は、1.8.11以降への更新が推奨されている。
- Acronisはアドバイザリ「SEC-10986」の詳細を後日公開するとしている。影響バージョンや脆弱性の種類、CVE番号が明らかになった時点で、自組織の資産が該当するかを改めて確認する必要がある。
出典
- Acronis Advisory Database「Acronis Backup plugin for cPanel & WHM version 1.9.3」（UPD-2609-3d72-20a7、2026年9月11日公開。深刻度が高い（high）1件の修正、野外での悪用の確認、即時更新の要請、詳細の後日公開）: https://security-advisory.acronis.com/updates/UPD-2609-3d72-20a7
- Acronis Advisory Database「Acronis Backup extension for Plesk version 1.8.11」（UPD-2609-efb0-50b2、2026年9月10日公開。深刻度が高い（high）1件の修正、全利用者への推奨、参照アドバイザリSEC-10986）: https://security-advisory.acronis.com/updates/UPD-2609-efb0-50b2
- Acronis Advisory Database（同プラグインの過去の更新情報と深刻度の確認）: https://security-advisory.acronis.com/
- CISA「Known Exploited Vulnerabilities Catalog」（2026年9月11日版で今回の脆弱性が未登録であることの確認）: https://www.cisa.gov/known-exploited-vulnerabilities-catalog
この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。