2026年06月25日の重要脆弱性: Quest NetVault Backup と Cacti に複数件 (4 件)
/ 5 min read
Table of Contents
概要
本日、2026年6月25日に公開された重要脆弱性について、CVSSスコアが8.0以上の高 Severity に該当する計4件をまとめました。特に、Quest NetVault Backupには3件のリモートコード実行や認証回避につながる脆弱性が、Cactiには1件のコマンドインジェクション脆弱性が報告されています。迅速な対応が求められます。
CVE-2026-9786: Quest NetVault Backup NVBUDashboard SQLインジェクションによるRCE
- CVSS: 8.8 (High)
- 影響: Quest / NetVault Backup — versions: 14.0.0.19 (affected)
概要
Quest NetVault BackupのNVBUDashboardにおけるSQLインジェクションの脆弱性です。認証が必要ですが、既存の認証メカニズムを迂回することが可能で、リモートの攻撃者が任意のコードを実行できる可能性があります。NVBUDashboardのJSON-RPCメッセージ処理において、ユーザー入力の不適切な検証がSQLクエリ構築に使用されることが原因です。
推奨対応
ベンダーから提供されているパッチを適用してください。Quest NetVault Backupのバージョン14.0.2にて修正済みです。詳細な情報はベンダーアドバイザリを参照してください。
参考
CVE-2026-9787: Quest NetVault Backup NVBULogDaemon コマンドインジェクションによるRCE
- CVSS: 8.8 (High)
- 影響: Quest / NetVault Backup — versions: 14.0.0.19 (affected)
概要
Quest NetVault BackupのNVBULogDaemonにおけるコマンドインジェクションの脆弱性です。認証を必要としますが、既存の認証メカニズムを迂回して、リモートの攻撃者が任意のコードを実行できる可能性があります。NVBULogDaemonのJSON-RPCメッセージ処理における、システムコール実行前のユーザー入力の不適切な検証が原因です。
推奨対応
ベンダーから提供されているパッチを適用してください。Quest NetVault Backupのバージョン14.0.2にて修正済みです。詳細な情報はベンダーアドバイザリを参照してください。
参考
CVE-2026-7569: Quest NetVault Backup viewclient クロスサイトスクリプティング認証バイパス
- CVSS: 8.8 (High)
- 影響: Quest / NetVault Backup — versions: 14.0.1.7 (affected)
概要
Quest NetVault Backupのviewclientウェブページにおけるクロスサイトスクリプティング（XSS）の脆弱性です。標的ユーザーが悪意のあるページを訪問するか、悪意のあるファイルを開くことで認証がバイパスされる可能性があります。ユーザー入力データの不適切な検証により任意のスクリプトが挿入され、他の脆弱性と組み合わせることで任意のコード実行につながる可能性があります。
推奨対応
ベンダーから提供されているパッチを適用してください。Quest NetVault Backupのバージョン14.0.2にて修正済みです。ユーザーインタラクションが必要なため、不審なリンクやファイルの開封には注意を払うことも重要です。
参考
CVE-2026-40079: Cacti RRDtool実行におけるコマンドインジェクション
- CVSS: 8.6 (High)
- 影響: Cacti / cacti — versions: < 1.2.31 (affected)
概要
オープンソースのパフォーマンス・障害管理フレームワークCactiに、コマンドインジェクションの脆弱性が発見されました。バージョン1.2.30以前が影響を受けます。lib/rrd.php内のescape_command()関数が適切なサニタイズを行わず、rrdtool_function_graph()で構築されたコマンドラインがshell_exec()に渡される際に、text_format値が適切にエスケープされずに実行される可能性があります。
推奨対応
Cactiをバージョン1.2.31以上にアップデートしてください。このバージョンで脆弱性は修正されています。