Dellが、企業のバックアップ／データ保護基盤である「Dell PowerProtect Data Manager」のセキュリティアップデートを公開し、合計359件の脆弱性を修正しました。REST APIの入力検証不備（CVE-2026-40712、CVSSスコア9.1＝Critical）を含みます。バックアップ管理基盤はランサムウェア対策の「最後の砦」であり、ここが侵害されると復旧そのものが崩れます。バージョン20.2.0.0より前を使っている組織は、更新の要否を今すぐ確認すべきです。
この記事でわかること
- 今回の更新で何が修正されたのか（件数の内訳と主要CVE）
- 自社が影響を受けるかの見分け方と、更新の要点
- CVSS9.1でも「即パニック」にしないための緊急度の測り方
- 359件のうち353件がサードパーティ由来だった意味
何が起きたのか
Dellは2026年7月、PowerProtect Data Manager向けのセキュリティアドバイザリ（DSA）を公開しました。対象製品はバックアップの取得・管理・リストアを統括するデータ保護ソフトウェアで、多くの企業で仮想マシンやデータベース、ファイルサーバーのバックアップ基盤として使われています。
修正された脆弱性は合計359件。内訳は次のとおりで、大半がPowerProtect自体のバグではなく、製品に同梱されている第三者コンポーネント（OSS等）由来である点が特徴です。
| 区分 | 件数 | 主な内容 |
|---|---|---|
| 製品固有の脆弱性 | 6件 | REST APIの入力検証不備、権限昇格など |
| サードパーティ製コンポーネント | 353件 | Linuxカーネル（約130件）、Apache Log4j、Apache Tomcat、PostgreSQL など |
| 合計 | 359件 | — |
特に注意すべきCVE
- CVE-2026-40712（CVSS 9.1／Critical）：REST APIにおける不適切な入力検証。リモートの攻撃者が悪用すると、影響を受けるシステムを侵害し得ます。ただし「高い権限を持つ攻撃者」が前提とされており、匿名・無認証で即座に突かれる類ではない点は緊急度の判断材料になります。
- CVE-2026-49499（CVSS 8.8）：権限昇格の脆弱性。低い権限から、より高い権限を奪取される恐れがあります。
- そのほか製品固有の脆弱性4件（CVSS 7.2〜6.0程度）が併せて修正されています。
影響を受ける環境と、更新の要点
影響を受けるのは20.2.0.0より前のバージョンです。Dellは修正版である20.2.0.0以降への更新を利用者に呼びかけています。まずは自社が稼働させているPowerProtect Data Managerのバージョンを確認し、20.2.0.0未満であれば更新計画に乗せてください。
バックアップ基盤は「動いていれば触りたくない」設備の典型で、更新が後回しになりがちです。しかし更新をためらってバックアップ管理基盤が侵害されれば、いざランサムウェアに遭ったときに頼るべきバックアップまで巻き添えになりかねません。守りの要である製品ほど、更新の優先度は本来高いという原則を思い出したいところです。
CVSS9.1を見たら、まず何を確認すべきか
CVSSが9点台と聞くと反射的に身構えますが、CVSSは「最悪ケースの深刻度」を示す指標であって、自社での緊急度そのものではありません。今回のCVE-2026-40712は「高権限の攻撃者」が前提のため、次のような自社側の条件で実際のリスクは大きく変わります。
- PowerProtectの管理インターフェース（REST API）が、社内のごく限られたセグメントからしか到達できないか、それとも広くアクセス可能か
- 管理者権限アカウントの管理・多要素認証・アクセス制御が適切に効いているか
- インターネットや業務LANから直接触れる場所に置いていないか
「CVSSの数字」と「自社での到達可能性・悪用条件」を掛け合わせて優先度を測るのが脆弱性管理の基本です。詳しくは脆弱性管理とは？プロセスと情シスの進め方も参照してください。
353件という数字が示すもの（ソフトウェアの依存関係）
今回の359件のうち、実に353件がLinuxカーネルやLog4j、Tomcat、PostgreSQLといった製品に取り込まれたサードパーティ製ソフトウェア由来でした。これは特定製品の品質問題というより、現代のソフトウェアが大量のOSSに依存している構造そのものの縮図です。
利用者から見れば、こうした依存部分の脆弱性はベンダーがまとめて取り込んで配布してくれるのを待つしかなく、そこには必ずタイムラグが生じます。「アプライアンスやパッケージ製品だから安心」ではなく、中身は多数のOSSの集合体であり、定期的にまとまった更新が必要という前提で運用したいところです。依存関係の脆弱性がまとめて出てくる構図は、サプライチェーンの脆弱性を分析した記事とも通じます。
現場目線の課題
正直なところ、バックアップ製品のバージョンを常に最新に保つのは、限られた人員の情シスにとって簡単ではありません。バックアップは「取れていること」が最優先で、更新に伴う再起動やジョブ停止のリスクを嫌って塩漬けにしがちです。年に一度の棚卸しでバージョンを見て「気づけば数世代前だった」というのはよくある話でしょう。
だからこそ、DSA（ベンダーのセキュリティアドバイザリ）の受信を仕組み化し、少なくとも「今使っている製品に重大な更新が出たら気づける」状態を作っておくことが現実的な第一歩になります。更新適用までに時間がかかる場合は、その空白期間をどう凌ぐかの発想も欠かせません（参考：パッチ待ちの空白に情シスは何をすべきか）。同じDellのインフラ製品ではPowerFlexでもCVSS9.1級の脆弱性が修正されており、主要ベンダーの更新は継続的に追う価値があります。
情シスはどうすべきか
今回の対応の勘所は、次のとおりです。
- バージョン確認：稼働中のPowerProtect Data Managerが20.2.0.0未満かを確認する。
- 更新計画：未満なら20.2.0.0以降への更新をスケジュールする。管理インターフェースの露出範囲・権限管理を併せて点検する。
- 暫定対応：すぐ更新できない場合は、管理APIへのアクセス経路を絞る・特権アカウントの多要素認証を徹底するなど、悪用の前提（高権限アクセス）を成立させない措置を取る。
脆弱性管理やパッチ適用の進め方に不安がある場合は、IPAの公的資料が参考になります。中小規模の組織は中小企業の情報セキュリティ対策ガイドラインから、運用の型を確認するとよいでしょう。個別のCVEの詳細はJVNやNVDで確認できます。
まとめ
- DellがPowerProtect Data Managerの脆弱性359件を修正。REST APIの入力検証不備（CVE-2026-40712、CVSS9.1）を含み、20.2.0.0より前が対象。20.2.0.0以降への更新を推奨。
- ただしCVSS9.1のCVEは「高権限の攻撃者」が前提。CVSSの数字と自社での到達可能性・悪用条件を掛け合わせて緊急度を測る。
- 359件中353件はLinuxカーネルやLog4j等のサードパーティ由来。パッケージ製品も多数のOSSの集合体であり、まとまった更新が定期的に必要という前提で運用する。
出典
- Security NEXT「『Dell PowerProtect Data Manager』にアップデート – 脆弱性359件を修正」 https://www.security-next.com/187759
- Dell セキュリティアドバイザリ（DSA） PowerProtect Data Manager https://www.dell.com/support/security/
- NVD: CVE-2026-40712 https://nvd.nist.gov/vuln/detail/CVE-2026-40712
