Veeam: nueve vulnerabilidades con RCE y escalada de privilegios

El 28 de octubre de 2026 el CERT-FR, el centro de respuesta a incidentes de la agencia francesa ANSSI, publicó el aviso CERTFR-2026-AVI-1399 sobre múltiples vulnerabilidades en los productos de Veeam. Según el CERT-FR, algunas permiten a un atacante la ejecución remota de código arbitrario, la escalada de privilegios y la vulneración de la confidencialidad de los datos.

El aviso se basa en tres boletines de seguridad publicados por Veeam el 27 de octubre de 2026: kb4948, kb4951 y kb4957. Por ahora la única fuente es el aviso del CERT-FR: a continuación te contamos lo que dice y señalamos lo que no dice, sin añadir hipótesis.

Qué dice el aviso

• Referencia: CERTFR-2026-AVI-1399, primera versión del 28 de octubre de 2026.
• Fuentes del aviso: boletines de Veeam kb4948, kb4951 y kb4957 del 27 de octubre de 2026.
• Riesgos indicados por el CERT-FR:
  • ejecución remota de código arbitrario;
  • escalada de privilegios;
  • inyección SQL (SQLi);
  • vulneración de la confidencialidad de los datos;
  • vulneración de la integridad de los datos;
  • elusión de la política de seguridad;
  • denegación de servicio (DoS).
• Solución: aplicar las correcciones indicadas en los boletines del fabricante.

Versiones afectadas

Según el CERT-FR son vulnerables:

• Veeam Agent for Linux: versiones anteriores a 13.1.2 (build 13.1.2.11);
• Veeam Backup & Replication 13.0.x: versiones anteriores a 13.0.3 (build 13.0.3.63);
• Veeam Backup & Replication 13.1.x: versiones anteriores a 13.1.2 (build 13.1.2.57);
• Veeam Backup for Microsoft 365: versiones anteriores a 8.6 Patch 1 (build 8.6.0.5011);
• Veeam ONE: versiones anteriores a 13.1 P1 (build 13.1.0.7940).

Para Veeam Backup & Replication el aviso solo enumera las ramas 13.0 y 13.1. Si usas otra rama, comprueba en los boletines de Veeam si está afectada y de qué manera.

Las CVE

El aviso cita nueve identificadores:

• CVE-2025-64394
• CVE-2026-105477
• CVE-2026-106076
• CVE-2026-106077
• CVE-2026-106078
• CVE-2026-107671
• CVE-2026-108140
• CVE-2026-108141
• CVE-2026-108142

Lo que el aviso no dice

El aviso del CERT-FR es breve. En concreto, no indica:

• qué CVE afecta a qué producto, ni qué boletín de Veeam cubre qué producto;
• las puntuaciones CVSS ni la gravedad de cada vulnerabilidad;
• las condiciones de explotación: si hace falta estar autenticado, qué privilegios se necesitan, qué componente o servicio está implicado;
• explotaciones en curso o código de ataque público;
• indicadores de compromiso o técnicas de MITRE ATT&CK.

Para todos estos detalles, la referencia son los boletines kb4948, kb4951 y kb4957 de Veeam. El aviso está en su versión inicial y podrá actualizarse.

De qué productos se trata

Veeam Backup & Replication es el servidor que gestiona las copias de seguridad y las réplicas de máquinas virtuales, servidores físicos y otras cargas de trabajo. Veeam Agent for Linux realiza las copias en cada máquina Linux. Veeam Backup for Microsoft 365 guarda los datos de los servicios de Microsoft 365, como correo, OneDrive, SharePoint y Teams. Veeam ONE sirve para monitorizar la infraestructura de copias de seguridad y generar informes.

Para funcionar, estos componentes suelen tener un acceso amplio a los sistemas que protegen y guardan las credenciales para llegar a ellos.

Impacto para las empresas europeas e italianas

La copia de seguridad es la última defensa para recuperarse tras un incidente, ransomware incluido. Una vulnerabilidad que permite ejecutar código u obtener privilegios más altos en un componente de la infraestructura de copias puede poner en riesgo tanto los datos guardados como la posibilidad de restaurarlos. Sin embargo, la gravedad del riesgo para cada producto solo podrá valorarse con los detalles de los boletines, que el aviso no recoge.

Para las entidades sujetas a la NIS2 (en Italia, el Decreto Legislativo 138/2024), la gestión de las copias de seguridad y de la recuperación forma parte de las medidas de continuidad de negocio, y la gestión de vulnerabilidades debe estar documentada, con prioridades y plazos explícitos. En la sanidad, donde la recuperación de los sistemas clínicos depende de las copias de seguridad, las actualizaciones de la infraestructura de copias merecen la misma atención. Cualquier incidente significativo debe evaluarse a efectos de notificación al CSIRT nacional, que en Italia es el CSIRT Italia de la ACN.

Qué hacer ya

1. Haz inventario: enumera los servidores Veeam Backup & Replication, las máquinas Linux con Veeam Agent for Linux, las instalaciones de Veeam Backup for Microsoft 365 y los servidores Veeam ONE, con la versión y la build instaladas.
2. Lee los boletines kb4948, kb4951 y kb4957 de Veeam para saber qué CVE afectan a tus productos, con qué gravedad y en qué condiciones.
3. Actualiza como mínimo a las versiones indicadas por el CERT-FR: Agent for Linux 13.1.2 (13.1.2.11), Backup & Replication 13.0.3 (13.0.3.63) o 13.1.2 (13.1.2.57), Backup for Microsoft 365 8.6 Patch 1 (8.6.0.5011), Veeam ONE 13.1 P1 (13.1.0.7940).
4. Comprueba tras la actualización que la build instalada coincide con la esperada en cada componente, incluidas las máquinas Linux con el agente.
5. Limita el acceso: como regla general, las consolas y los servicios de gestión de las copias de seguridad deben ser accesibles solo desde redes y puestos administrativos, nunca desde Internet.
6. Vigila: como buena práctica, investiga los accesos anómalos a la consola, las cuentas nuevas, los cambios en los trabajos de copia o en la retención y los borrados de puntos de restauración.
7. Sigue las actualizaciones del aviso del CERT-FR y de los boletines de Veeam, por si hay novedades sobre explotaciones o indicadores.

Cómo ayuda ARXDOME

ARX Shield enumera las vulnerabilidades abiertas por máquina y por paquete en las máquinas monitorizadas, con las ya explotadas destacadas: te ayuda a encontrar los componentes de Veeam que aún hay que actualizar. ARX Expose muestra qué servicios expone tu empresa en Internet y qué productos se reconocen en ellos, algo útil para comprobar que las consolas de gestión de las copias no sean accesibles desde fuera. Con ARX Sentry, los logs y eventos de los servidores llegan al portal, y los accesos anómalos quedan a la vista de los analistas.

Última actualización: 28 de octubre de 2026