Veeam: nouă vulnerabilități cu RCE și escaladare de privilegii

Pe 28 octombrie 2026, CERT-FR, centrul de răspuns la incidente al agenției franceze ANSSI, a publicat avizul CERTFR-2026-AVI-1399 privind mai multe vulnerabilități în produsele Veeam. Potrivit CERT-FR, unele dintre ele permit unui atacator executarea de cod arbitrar de la distanță, escaladarea privilegiilor și încălcarea confidențialității datelor.

Avizul se bazează pe trei buletine de securitate publicate de Veeam pe 27 octombrie 2026: kb4948, kb4951 și kb4957. Deocamdată singura sursă este avizul CERT-FR: în continuare îți prezentăm ce spune și semnalăm ce nu spune, fără să adăugăm ipoteze.

Ce spune avizul

• Referință: CERTFR-2026-AVI-1399, prima versiune din 28 octombrie 2026.
• Sursele avizului: buletinele Veeam kb4948, kb4951 și kb4957 din 27 octombrie 2026.
• Riscuri indicate de CERT-FR:
  • executare de cod arbitrar de la distanță;
  • escaladarea privilegiilor;
  • injecție SQL (SQLi);
  • încălcarea confidențialității datelor;
  • încălcarea integrității datelor;
  • ocolirea politicii de securitate;
  • refuzul serviciului (DoS).
• Soluție: aplicarea corecțiilor indicate în buletinele producătorului.

Versiuni afectate

Potrivit CERT-FR, sunt vulnerabile:

• Veeam Agent for Linux: versiunile anterioare 13.1.2 (build 13.1.2.11);
• Veeam Backup & Replication 13.0.x: versiunile anterioare 13.0.3 (build 13.0.3.63);
• Veeam Backup & Replication 13.1.x: versiunile anterioare 13.1.2 (build 13.1.2.57);
• Veeam Backup for Microsoft 365: versiunile anterioare 8.6 Patch 1 (build 8.6.0.5011);
• Veeam ONE: versiunile anterioare 13.1 P1 (build 13.1.0.7940).

Pentru Veeam Backup & Replication, avizul enumeră doar ramurile 13.0 și 13.1. Dacă folosești o altă ramură, verifică în buletinele Veeam dacă și cum este afectată.

CVE-urile

Avizul citează nouă identificatori:

• CVE-2025-64394
• CVE-2026-105477
• CVE-2026-106076
• CVE-2026-106077
• CVE-2026-106078
• CVE-2026-107671
• CVE-2026-108140
• CVE-2026-108141
• CVE-2026-108142

Ce nu spune avizul

Avizul CERT-FR este succint. În special, nu precizează:

• ce CVE afectează ce produs și nici ce buletin Veeam acoperă ce produs;
• scorurile CVSS și gravitatea fiecărei vulnerabilități;
• condițiile de exploatare: dacă este nevoie de autentificare, ce privilegii sunt necesare, ce componentă sau serviciu este implicat;
• exploatări în curs sau cod de atac public;
• indicatori de compromitere sau tehnici MITRE ATT&CK.

Pentru toate aceste detalii, referința sunt buletinele Veeam kb4948, kb4951 și kb4957. Avizul este în versiunea inițială și poate fi actualizat.

Despre ce produse este vorba

Veeam Backup & Replication este serverul care gestionează copiile de siguranță și replicile mașinilor virtuale, ale serverelor fizice și ale altor sarcini de lucru. Veeam Agent for Linux face backup pe fiecare mașină Linux. Veeam Backup for Microsoft 365 salvează datele din serviciile Microsoft 365, precum e-mailul, OneDrive, SharePoint și Teams. Veeam ONE servește la monitorizarea infrastructurii de backup și la generarea rapoartelor.

Pentru a funcționa, aceste componente au de obicei acces larg la sistemele pe care le protejează și păstrează credențialele necesare pentru a ajunge la ele.

Impactul pentru companiile europene și italiene

Backup-ul este ultima linie de apărare pentru a reporni după un incident, inclusiv după un atac ransomware. O vulnerabilitate care permite executarea de cod sau obținerea unor privilegii mai mari pe o componentă a infrastructurii de backup poate pune în pericol atât datele salvate, cât și posibilitatea de a le restaura. Cât de grav este riscul pentru fiecare produs se va putea spune însă doar cu detaliile din buletine, pe care avizul nu le include.

Pentru entitățile care intră sub incidența NIS2 (în Italia, Decretul legislativ 138/2024), gestionarea backup-urilor și a recuperării face parte din măsurile de continuitate a activității, iar gestionarea vulnerabilităților trebuie documentată, cu priorități și termene explicite. În sănătate, unde restaurarea sistemelor clinice depinde de copiile de siguranță, actualizările infrastructurii de backup merită aceeași atenție. Orice incident semnificativ trebuie evaluat în vederea notificării către CSIRT-ul național, care în Italia este CSIRT Italia din cadrul ACN.

Ce să faci imediat

1. Fă inventarul: enumeră serverele Veeam Backup & Replication, mașinile Linux cu Veeam Agent for Linux, instalările Veeam Backup for Microsoft 365 și serverele Veeam ONE, cu versiunea și build-ul instalate.
2. Citește buletinele Veeam kb4948, kb4951 și kb4957, ca să afli ce CVE afectează produsele tale, cu ce gravitate și în ce condiții.
3. Actualizează cel puțin la versiunile indicate de CERT-FR: Agent for Linux 13.1.2 (13.1.2.11), Backup & Replication 13.0.3 (13.0.3.63) sau 13.1.2 (13.1.2.57), Backup for Microsoft 365 8.6 Patch 1 (8.6.0.5011), Veeam ONE 13.1 P1 (13.1.0.7940).
4. Verifică după actualizare că build-ul instalat corespunde celui așteptat pe fiecare componentă, inclusiv pe mașinile Linux cu agentul.
5. Limitează accesul: ca regulă generală, consolele și serviciile de administrare a backup-ului trebuie să fie accesibile doar din rețele și stații administrative, niciodată din Internet.
6. Supraveghează: ca bună practică, investighează accesările neobișnuite ale consolei, conturile noi, modificările joburilor de backup sau ale retenției și ștergerile punctelor de restaurare.
7. Urmărește actualizările avizului CERT-FR și ale buletinelor Veeam, pentru eventuale noutăți despre exploatări sau indicatori.

Cum ajută ARXDOME

ARX Shield enumeră vulnerabilitățile deschise pe mașină și pe pachet pe mașinile monitorizate, cu cele deja exploatate evidențiate: te ajută să găsești componentele Veeam care trebuie încă actualizate. ARX Expose arată ce servicii expune compania ta în Internet și ce produse sunt recunoscute pe ele, util pentru a verifica dacă consolele de administrare a backup-ului nu sunt accesibile din exterior. Cu ARX Sentry, logurile și evenimentele serverelor ajung în portal, iar accesările neobișnuite rămân sub ochii analiștilor.

Ultima actualizare: 28 octombrie 2026