Veeam: nove vulnerabilità con RCE ed elevazione di privilegi

Il 28 ottobre 2026 il CERT-FR, il centro di risposta agli incidenti dell’agenzia francese ANSSI, ha pubblicato l’avviso CERTFR-2026-AVI-1399 su più vulnerabilità nei prodotti Veeam. Secondo il CERT-FR, alcune permettono a un attaccante l’esecuzione di codice arbitrario da remoto, l’elevazione di privilegi e la violazione della riservatezza dei dati.

L’avviso riprende tre bollettini di sicurezza pubblicati da Veeam il 27 ottobre 2026: kb4948, kb4951 e kb4957. Per ora l’unica fonte è l’avviso del CERT-FR: di seguito riportiamo quello che dice e segnaliamo quello che non dice, senza aggiungere ipotesi.

Cosa dice l’avviso

• Riferimento: CERTFR-2026-AVI-1399, prima versione del 28 ottobre 2026.
• Fonti dell’avviso: bollettini Veeam kb4948, kb4951 e kb4957 del 27 ottobre 2026.
• Rischi indicati dal CERT-FR:
  • esecuzione di codice arbitrario da remoto;
  • elevazione di privilegi;
  • iniezione SQL (SQLi);
  • violazione della riservatezza dei dati;
  • violazione dell’integrità dei dati;
  • aggiramento della politica di sicurezza;
  • negazione del servizio (DoS).
• Soluzione: applicare le correzioni indicate nei bollettini del produttore.

Versioni colpite

Secondo il CERT-FR sono vulnerabili:

• Veeam Agent for Linux: versioni precedenti a 13.1.2 (build 13.1.2.11);
• Veeam Backup & Replication 13.0.x: versioni precedenti a 13.0.3 (build 13.0.3.63);
• Veeam Backup & Replication 13.1.x: versioni precedenti a 13.1.2 (build 13.1.2.57);
• Veeam Backup for Microsoft 365: versioni precedenti a 8.6 Patch 1 (build 8.6.0.5011);
• Veeam ONE: versioni precedenti a 13.1 P1 (build 13.1.0.7940).

Per Veeam Backup & Replication l’avviso elenca solo i rami 13.0 e 13.1. Se usi un ramo diverso, controlla nei bollettini di Veeam se e come è interessato.

Le CVE

L’avviso cita nove identificativi:

• CVE-2025-64394
• CVE-2026-105477
• CVE-2026-106076
• CVE-2026-106077
• CVE-2026-106078
• CVE-2026-107671
• CVE-2026-108140
• CVE-2026-108141
• CVE-2026-108142

Cosa l’avviso non dice

L’avviso del CERT-FR è sintetico. In particolare non riporta:

• quale CVE riguarda quale prodotto, né quale bollettino Veeam copre quale prodotto;
• i punteggi CVSS e la gravità di ciascuna vulnerabilità;
• le condizioni di sfruttamento: se serve essere autenticati, quali privilegi servono, quale componente o servizio è coinvolto;
• sfruttamenti in corso o codice di attacco pubblico;
• indicatori di compromissione o tecniche MITRE ATT&CK.

Per tutti questi dettagli fanno fede i bollettini kb4948, kb4951 e kb4957 di Veeam. L’avviso è nella versione iniziale e potrà essere aggiornato.

Di che prodotti si tratta

Veeam Backup & Replication è il server che gestisce copie di sicurezza e repliche di macchine virtuali, server fisici e altri carichi di lavoro. Veeam Agent for Linux esegue i backup sulle singole macchine Linux. Veeam Backup for Microsoft 365 salva i dati dei servizi Microsoft 365, come posta, OneDrive, SharePoint e Teams. Veeam ONE serve a monitorare l’infrastruttura di backup e a produrre i report.

Sono componenti che, per funzionare, hanno di solito accesso ampio ai sistemi da salvare e conservano le credenziali per raggiungerli.

Impatto per le aziende europee e italiane

Il backup è l’ultima difesa per ripartire dopo un incidente, ransomware compreso. Una vulnerabilità che permette di eseguire codice o di ottenere privilegi più alti su un componente dell’infrastruttura di backup può mettere a rischio sia i dati salvati sia la possibilità di ripristinarli. Quanto sia grave il rischio per ogni prodotto, però, si potrà dire solo con i dettagli dei bollettini, che l’avviso non riporta.

Per i soggetti che rientrano nella NIS2 (in Italia il D.Lgs. 138/2024), la gestione dei backup e del ripristino fa parte delle misure di continuità operativa, e la gestione delle vulnerabilità deve essere documentata, con priorità e tempi espliciti. Nella sanità, dove il ripristino dei sistemi clinici dipende dalle copie di sicurezza, gli aggiornamenti dell’infrastruttura di backup vanno pianificati con la stessa attenzione. Un eventuale incidente significativo va valutato ai fini della notifica al CSIRT Italia dell’ACN.

Cosa fare subito

1. Fai l’inventario: elenca i server Veeam Backup & Replication, le macchine Linux con Veeam Agent for Linux, le installazioni di Veeam Backup for Microsoft 365 e i server Veeam ONE, con versione e build installate.
2. Leggi i bollettini kb4948, kb4951 e kb4957 di Veeam, per sapere quali CVE riguardano i tuoi prodotti, con quale gravità e con quali condizioni.
3. Aggiorna almeno alle versioni indicate dal CERT-FR: Agent for Linux 13.1.2 (13.1.2.11), Backup & Replication 13.0.3 (13.0.3.63) o 13.1.2 (13.1.2.57), Backup for Microsoft 365 8.6 Patch 1 (8.6.0.5011), Veeam ONE 13.1 P1 (13.1.0.7940).
4. Controlla dopo l’aggiornamento che la build installata corrisponda a quella attesa su ogni componente, comprese le macchine Linux con l’agente.
5. Limita l’accesso: come regola generale, le console e i servizi di gestione del backup devono essere raggiungibili solo da reti e postazioni amministrative, mai da Internet.
6. Sorveglia: come buona pratica, accessi anomali alla console, nuovi account, modifiche ai lavori di backup o alla conservazione e cancellazioni di punti di ripristino vanno indagati.
7. Segui gli aggiornamenti dell’avviso CERT-FR e dei bollettini Veeam, per eventuali notizie su sfruttamenti o indicatori.

Come aiuta ARXDOME

ARX Shield elenca le vulnerabilità aperte per macchina e per pacchetto sulle macchine monitorate, con quelle già sfruttate in evidenza: aiuta a trovare i componenti Veeam ancora da aggiornare. ARX Expose mostra quali servizi la tua azienda espone su Internet e quali prodotti vi sono riconosciuti, utile per verificare che le console di gestione del backup non siano raggiungibili dall’esterno. Con ARX Sentry log ed eventi dei server arrivano nel portale, e gli accessi anomali restano sotto gli occhi degli analisti.

Ultimo aggiornamento: 28 ottobre 2026