Dell RecoverPoint for VMs の固定資格情報で未認証 root 到達（ゼロデイ悪用）

Critical（CVSS 10.0）に分類されるDell Dell RecoverPoint for Virtual Machines (RP4VMs)の脆弱性です。Dell RecoverPoint for Virtual Machines の 6.0.3.1 HF1 より前のバージョンに、ハードコードされた資格情報が存在する。Dell の説明では、この固定資格情報を知る未認証のリモート攻撃者が、基盤となるオペレーティングシステムへ不正にアクセスし、root レベルの永続化を確立できるとされ、Dell 自身がこれを critical と位置づけて可能な限り早い更新または緩和策の適用を勧告している。CVSS は NVD（Primary）と CNA の Dell がともに 10.0 Critical（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）で完全に一致しており、スコープ変更あり（S:C）を含む満点評価である。影響は NVD の CPE によると 6.0 未満のすべて、および 6.0 系の各 SP / パッチ（6.0、6.0 SP1、SP1 P1、SP1 P2、SP2、SP2 P1、SP3、SP3 P1）。NVD の vulnStatus は Analyzed。CISA KEV には 2026-02-18 に収載され、是正期限は 2026-02-21 と、収載から3日という極端に短い期限が設定されている。これは実際の攻撃が進行中であることを示すもので、Google のスレットインテリジェンスは UNC6201 という攻撃者グループが本件をゼロデイとして悪用したと報告している。ランサムウェア利用は Unknown（不明）だが、バックアップ・レプリケーション製品を狙う攻撃はランサムウェアの前段として典型的である。

この CVE は「バックアップ／レプリケーション基盤が最初に落ちる」という最悪の形なので、対応の優先度は最上位に置くべきである。判定は RecoverPoint for VMs の版確認だけで済み、6.0.3.1 HF1 より前なら該当する。vSphere 環境に RPA（RecoverPoint Appliance）の仮想マシンが並んでいるかを vCenter 側から確認するのが早い。対応は Dell のアドバイザリ DSA-2026-079 に従って 6.0.3.1 HF1 以降へアップグレードすること、あるいは同アドバイザリと Dell の手順記事で提供されている緩和スクリプトを適用することである。Dell は「アップグレードまたは緩和策のいずれかを可能な限り早く」と明記しているので、停止調整に時間がかかる場合はスクリプト適用を先に行う。固定資格情報の問題は、更新しても「その資格情報が既に世に出ている」という前提が消えない点に注意が要る。したがって更新・緩和のあとに、当該アプライアンスの資格情報を再設定し、アプライアンスが保持している vCenter 接続アカウントやストレージ側の認証情報を再発行する。さらに、この製品が root 永続化を許す欠陥であることと、実際にゼロデイとして使われた事実を合わせると、更新前から侵害されていた可能性を真面目に検討する必要がある。確認すべきは、RPA 上の追加された SSH 公開鍵とローカルアカウント、cron や systemd の不審なユニット、外部への常時接続、そしてレプリケーション設定の改変やジャーナルの削除である。バックアップの整合性そのものが疑わしくなるため、復旧手段として別系統のバックアップ（オフラインコピー、別基盤のスナップショット）が生きているかを併せて確認しておく。完了条件は、（1）6.0.3.1 HF1 以降へ更新済み、または Dell の緩和スクリプト適用済み、（2）アプライアンスと連携先の資格情報を再発行、（3）侵害痕跡の確認とバックアップ整合性の検証が済んでいることである。KEV 是正期限 2026-02-21 は大きく経過しているため、未対応の機器があるなら期限超過として最優先で扱う。

Dell Dell RecoverPoint for Virtual Machines (RP4VMs) を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-22769）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/02/21 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。