CVE-2026-108142: Omisión de Autorización Crítica en Veeam Backup & Replication

Veeam ha lanzado actualizaciones de seguridad para abordar CVE-2026-108142, una vulnerabilidad crítica de omisión de autorización que afecta a Veeam Backup & Replication 13. La falla permite a un atacante remoto no autenticado eludir los controles de autorización asociados con el servicio Veeam CDP Coordinator Service.

La vulnerabilidad tiene un puntaje CVSS v4.0 de 9.1 y afecta tanto implementaciones de Veeam Backup & Replication basadas en Windows como al Veeam Software Appliance. Veeam reveló el problema el 27 de octubre de 2026 como parte de la advertencia de seguridad KB4948.

La infraestructura de respaldo es un objetivo de seguridad especialmente sensible porque contiene datos de recuperación y a menudo tiene conectividad privilegiada a sistemas de producción. Una debilidad de autorización que afecta a un componente de respaldo central, por lo tanto, merece atención inmediata a pesar de que el proveedor no ha documentado públicamente la cadena completa de explotación.

El vector CVSS de Veeam identifica la explotación basada en red con baja complejidad de ataque, sin privilegios requeridos y sin interacción del usuario. Sin embargo, el vector también especifica que deben estar presentes requisitos de ataque adicionales. Veeam no ha explicado públicamente esos requisitos previos.

La vulnerabilidad afecta a Veeam Backup & Replication 13.1.1.18 y a todas las versiones anteriores en la rama 13.1, así como a la versión 13.0.2.29 y todas las versiones anteriores 13.0. Veeam declara explícitamente que las versiones anteriores, como la versión 12.x, no se ven afectadas por esta falla específica.

Para la detección de CVE-2026-108142, los equipos de seguridad deben priorizar la identificación de instalaciones vulnerables de Backup & Replication y monitorear el servidor de respaldo para detectar actividad inesperada que involucre al servicio CDP Coordinator, cambios no autorizados en la configuración, modificaciones sospechosas de la infraestructura de respaldo y conexiones de red desde sistemas no confiables.

Los usuarios de SOC Prime pueden fortalecer la visibilidad en la explotación de vulnerabilidades y actividades posteriores al compromiso correlacionando la telemetría de red, endpoint, identidad y aplicación con contenido de detección basado en comportamiento.

Haga clic Explorar Detecciones para acceder a contenido de detección relevante y lógica de búsqueda. Para detectar CVE-2026-108142, los defensores deben combinar el inventario de vulnerabilidades con el monitoreo de servicios de Veeam, actividad administrativa, cambios del sistema y acceso a red a la infraestructura de respaldo.

Contactar Ventas

Análisis de CVE-2026-108142

La vulnerabilidad se encuentra en el servicio Veeam CDP Coordinator, un componente de Veeam Backup & Replication responsable de coordinar operaciones de Protección Continua de Datos.

Según la documentación de Veeam, el servicio CDP Coordinator se ejecuta en el servidor de respaldo y se comunica con VMware vCenter, asigna tareas CDP, gestiona componentes de infraestructura involucrados en la Protección Continua de Datos y coordina operaciones de replicación y transferencia de datos.

Esto hace que los controles de autorización alrededor del servicio sean particularmente importantes. El servidor de respaldo actúa como el núcleo de configuración y gestión de la infraestructura de respaldo, mientras que el servicio CDP Coordinator puede interactuar con componentes de infraestructura involucrados en la replicación.

Los detalles de CVE-2026-108142 permanecen intencionalmente limitados en la divulgación pública.

Veeam describe la vulnerabilidad como que permite a un atacante no autenticado eludir la autorización en el servicio CDP Coordinator pero no revela la solicitud vulnerable, función afectada, interacción del protocolo, secuencia de explotación o defecto de implementación subyacente.

El CVE está categorizado como CWE-636, No Failing Securely, comúnmente descrito como una condición de ‘fallo abierto’. Esta clase de debilidad ocurre cuando un mecanismo de seguridad encuentra un error o estado inesperado y cae en una condición menos segura en lugar de denegar el acceso.

Sin embargo, la clasificación CWE sola no debe utilizarse para inferir el error de implementación preciso en el software de Veeam. El proveedor no ha publicado suficiente información técnica para determinar exactamente cómo se desencadena el bypass de autorización.

El vector CVSS v4.0 es:

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:H/VA:H/SC:N/SI:H/SA:H

Esto indica:

• Vector de ataque basado en red
• Baja complejidad de ataque
• Requisitos adicionales de ataque presentes
• No se requieren privilegios
• No se requiere interacción del usuario
• No se identificó impacto directo en la confidencialidad
• Alto impacto en la integridad y disponibilidad
• Alto impacto en la integridad y disponibilidad en sistemas posteriores

Esa distinción final es importante. La puntuación de Veeam sugiere que una explotación exitosa podría afectar no solo el sistema de respaldo vulnerable, sino también a los sistemas rio abajo de él. Sin embargo, el proveedor no ha descrito exactamente qué operaciones puede realizar un atacante después de eludir la autorización.

Ni Veeam ni los informes suministrados afirman que la vulnerabilidad proporciona ejecución remota de código arbitrario.

CybersecurityNews señala específicamente que la advertencia no describe una secuencia de ataque o dice que la falla permite RCE. CyberPress también afirma que Veeam no ha publicado pasos de explotación ni afirmado ejecución de código.

Por lo tanto, afirmar que la falla proporciona directamente acceso a la shell, privilegios SYSTEM, robo de credenciales o ejecución arbitraria de comandos iría actualmente más allá de la evidencia disponible.

CVE-2026-108142 afecta dos ramificaciones de Veeam Backup & Replication 13:

• Versión 13.1.1.18 y construcciones anteriores de la 13.1
• Versión 13.0.2.29 y construcciones anteriores de la 13.0

La vulnerabilidad se aplica tanto a las instalaciones de Veeam Backup & Replication basadas en Windows como a las implementaciones de Veeam Software Appliance.

Veeam Backup & Replication 12.x y otras versiones anteriores identificadas por el proveedor no se ven afectadas por este problema en particular.

Las organizaciones deben verificar la construcción exacta en lugar de confiar únicamente en el número de versión principal.

Por ejemplo, una instalación que informa la versión 13.1 aún puede ser vulnerable a menos que haya sido actualizada a la construcción 13.1.2.57 o posterior.

Los administradores pueden revisar su construcción de Backup & Replication instalada desde la interfaz del producto y compararla con la información de lanzamiento de Veeam.

Al momento de escribir, Veeam ni los informes de seguridad suministrados han documentado un PoC público para CVE-2026-108142. El seguimiento público independiente de vulnerabilidades también informa que no hay una explotación de prueba de concepto abiertamente disponible.

Veeam tampoco ha informado una explotación activa de la vulnerabilidad.

Esta distinción es particularmente relevante porque la infraestructura de Veeam ha sido atacada a través de otras vulnerabilidades en ataques previos. CybersecurityNews menciona la explotación previa de CVE-2024-40711 en operaciones de ransomware, pero esa actividad histórica no demuestra la explotación de la omisión de autorización recién descubierta.

A partir del 29 de octubre de 2026, el nuevo CVE tampoco está listado en el catálogo de Vulnerabilidades Explotadas Conocidas de CISA según los datos de seguimiento de vulnerabilidades disponibles actualmente.

Por lo tanto, no hay IOC específicos de campaña confirmados para CVE-2026-108142, como direcciones IP maliciosas, dominios, hashes, cargas de explotación o infraestructura atacante conocida asociada con esta vulnerabilidad.

Los equipos de seguridad deben centrarse en la evaluación de la exposición y el monitoreo del comportamiento.

Los puntos de investigación potenciales incluyen:

• Conexiones de red a la infraestructura de respaldo Veeam desde sistemas inesperados
• Interacción inesperada con el servicio CDP Coordinator
• Cambios no autorizados en la configuración de respaldo o CDP
• Nuevos trabajos de respaldo o modificaciones sin una explicación administrativa
• Reinicios o fallos inesperados de servicio
• Cambios en las políticas de replicación
• Modificaciones a la infraestructura protegida que no corresponden con actividad administrativa aprobada
• Cambios sospechosos de cuenta o privilegios en el servidor de respaldo
• Procesos inesperados o actividad de red que se originan desde la infraestructura Veeam
• Intentos de alcanzar servicios de gestión de respaldo desde redes de usuarios o sistemas expuestos a Internet

Estos comportamientos no son indicadores específicos de vulnerabilidad. Son oportunidades de búsqueda defensiva que pueden ayudar a descubrir actividad sospechosa que involucra a un servidor de respaldo crítico mientras los detalles técnicos de explotación permanecen no disponibles.

Las organizaciones también deben revisar la segmentación de red alrededor de la infraestructura Veeam.

Los servidores de respaldo no deben ser ampliamente accesibles desde estaciones de trabajo comunes, ambientes de huéspedes o segmentos de red no confiables. Solo los sistemas que requieren comunicación con los servicios de Veeam deben poder alcanzar las interfaces y puertos relevantes.

Esto reduce el número de sistemas capaces de interactuar con un servicio vulnerable mientras los parches están siendo desplegados.

La actualización de seguridad de octubre también aborda tres vulnerabilidades adicionales.

CVE-2026-108140 y CVE-2026-108141 son vulnerabilidades de recorrido de ruta relativa de severidad media, calificadas con CVSS 5.9. La explotación requiere un Operador de Restauración autenticado que también controle el contenido de una acción de NAS respaldada. Bajo esas condiciones, archivos controlados por el atacante pueden ser escritos en ubicaciones arbitrarias en el servidor de respaldo.

Un problema separado, CVE-2026-105477, afecta a instalaciones de Veeam Agent para Linux gestionadas por Backup & Replication. La vulnerabilidad de alta severidad puede permitir una escalada de privilegios local y se soluciona en Veeam Agent para Linux 13.1.2, construcción 13.1.2.11.

Las organizaciones que aplican las actualizaciones de octubre deben, por lo tanto, revisar todo su entorno de Veeam en lugar de tratar solo la omisión crítica de autorización.

Mitigación de CVE-2026-108142

La principal medida correctiva es instalar las versiones corregidas de Veeam Backup & Replication.

Para la rama 13.1, actualizar a:

Veeam Backup & Replication 13.1.2 — construcción 13.1.2.57

Para la rama 13.0, actualizar a:

Veeam Backup & Replication 13.0.3 — construcción 13.0.3.63

Estas construcciones contienen la solución proporcionada por el proveedor para la vulnerabilidad de autorización.

La recomendada mitigación de CVE-2026-108142 debería comenzar con la identificación de cada servidor Veeam Backup & Replication y la determinación de su construcción exacta instalada.

Los equipos de seguridad deben priorizar las actualizaciones para servidores de respaldo que sean accesibles a través de grandes segmentos de red, conectados a infraestructura de virtualización crítica o que respalden cargas de trabajo de producción de alto valor.

El parche debe tratarse como una prioridad de seguridad porque la explotación no requiere una cuenta autenticada según el vector CVSS publicado.

Veeam no ha publicado una solución completa en KB4948 que elimine la vulnerabilidad sin instalar el software corregido.

Si una actualización inmediata es operacionalmente imposible, las organizaciones deben aplicar medidas de defensa en profundidad hasta que se pueda completar el parcheo:

• Restringir el acceso a los servidores de respaldo Veeam usando segmentación de red.
• Permitir conexiones solo desde sistemas que necesiten legítimamente acceso.
• Bloquear la comunicación innecesaria desde VLANs de estaciones de trabajo y usuarios.
• Prevenir la exposición directa a Internet de la infraestructura de respaldo.
• Aplicar restricciones en el cortafuegos basado en host donde sea apropiado operacionalmente.
• Monitorear el acceso a los servicios de Veeam desde sistemas inesperados.
• Revisar cambios administrativos y en la configuración de respaldo.
• Monitorear el servidor de respaldo para ejecuciones de procesos inusuales o conexiones salientes.
• Proteger credenciales administrativas utilizando autenticación fuerte y privilegio mínimo.
• Mantener copias de respaldo inmutables o fuera de línea donde sea posible.

Estos controles reducen la superficie de ataque pero no deben considerarse sustitutos para la actualización del proveedor.

La información de lanzamiento de Veeam indica que 13.1.2.57 es un parche acumulativo que aborda vulnerabilidades de seguridad junto con otros problemas reportados. El parche puede distribuirse a través de los mecanismos de actualización de Veeam o instalarse mediante medios de instalación actualizados.

Después de actualizar, los administradores deben verificar que la construcción corregida esperada esté en ejecución.

También deben confirmar que los trabajos de respaldo y replicación operan normalmente y probar las capacidades de restauración. Las actualizaciones de seguridad a la infraestructura de respaldo no deben considerarse completas hasta que se haya validado la capacidad de recuperación.

Debido a que no hay indicadores de explotación específicos de la vulnerabilidad actualmente públicos, las organizaciones deben revisar la actividad histórica en sistemas que permanecieron vulnerables antes del parcheo.

Las fuentes importantes incluyen:

• Registros de servicio de Veeam
• Registros de eventos de Windows
• Configuración de Veeam e historial de trabajos
• Telemetría EDR de servidores de respaldo
• Registros de flujo de red y cortafuegos
• Registros de autenticación
• Actividad administrativa
• Registros de gestión de vCenter y virtualización

Los equipos de seguridad deben investigar cambios inesperados en trabajos, repositorios, configuración de replicación, políticas de protección, componentes de infraestructura o cuentas administrativas.

La integridad del respaldo también debe ser verificada.

Los atacantes frecuentemente apuntan a sistemas de respaldo durante intrusiones más amplias para incapacitar la recuperación. Aunque el informe público no establece explotación de ransomware de este CVE, las organizaciones que investigan actividad sospechosa deben confirmar que los puntos de restauración, copias inmutables y respaldos fuera de línea no han sido alterados.

Donde no se pueda excluir el compromiso, los respondedores a incidentes deben proteger copias limpias de respaldo antes de llevar a cabo la remediación.

Las credenciales accesibles desde la infraestructura de respaldo también deben ser revisadas y rotadas si la evidencia indica acceso no autorizado.

Las organizaciones que ejecutan Veeam Agent para Linux gestionado por Backup & Replication deben actualizar por separado agentes vulnerables a la versión 13.1.2, construcción 13.1.2.11, para remediar CVE-2026-105477.

La omisión crítica de autorización y las tres vulnerabilidades adicionales se informaron a Veeam a través de HackerOne. Veeam lanzó soluciones para todos los cuatro problemas el 27 de octubre de 2026.

Descargo de responsabilidad: El contenido de detección puede no estar disponible para todos los CVE. Verifique la Plataforma SOC Prime para cobertura actual. Si las detecciones relevantes aún no están disponibles, verifique nuevamente ya que continuamente se agrega nueva inteligencia de amenazas y contenido de detección.