CVE-2026-108142: Kritische Veeam Backup & Replikation Autorisierungsumgehung

Veeam hat Sicherheitsupdates veröffentlicht, um CVE-2026-108142 zu beheben, eine kritische Autorisierungsumgehungs-Schwachstelle, die Veeam Backup & Replication 13 betrifft. Der Fehler ermöglicht es einem nicht authentifizierten entfernten Angreifer, Autorisierungskontrollen im Zusammenhang mit dem Veeam CDP-Koordinierungsdienst zu umgehen.

Die Schwachstelle hat einen CVSS v4.0-Wert von 9.1 und betrifft sowohl Windows-basierte Veeam Backup & Replication-Installationen als auch das Veeam Software Appliance. Veeam hat das Problem am 27. Oktober 2026 im Rahmen des Sicherheitsberichts KB4948 offengelegt.

Eine Backup-Infrastruktur ist ein besonders sensibles Sicherheitsziel, da sie Wiederherstellungsdaten enthält und oft privilegierte Verbindungen zu Produktionssystemen hat. Eine Autorisierungsschwäche, die eine zentrale Backup-Komponente betrifft, verdient daher sofortige Aufmerksamkeit, auch wenn der Anbieter die vollständige Ausbeutungskette nicht öffentlich dokumentiert hat.

Veeams CVSS-Vektor identifiziert eine netzwerkbasierte Ausbeutung mit niedriger Angriffs-Komplexität, ohne erforderliche Privilegien und ohne Benutzerinteraktion. Der Vektor gibt jedoch auch an, dass zusätzliche Angriffsanforderungen vorhanden sein müssen. Veeam hat diese Voraussetzungen nicht öffentlich erklärt.

Die Schwachstelle betrifft Veeam Backup & Replication 13.1.1.18 und alle früheren Builds des 13.1-Zweigs sowie Version 13.0.2.29 und alle früheren 13.0-Builds. Veeam erklärt ausdrücklich, dass ältere Versionen wie Version 12.x von diesem spezifischen Fehler nicht betroffen sind.

Für die Erkennung von CVE-2026-108142 sollten Sicherheitsteams die Identifizierung anfälliger Backup & Replication-Installationen priorisieren und den Backup-Server auf unerwartete Aktivitäten überwachen, die den CDP-Koordinierungsdienst, unbefugte Konfigurationsänderungen, verdächtige Backup-Infrastruktur-Modifikationen und Netzwerkverbindungen von unzuverlässigen Systemen betreffen.

SOC Prime-Nutzer können die Sichtbarkeit in die Ausnutzung von Schwachstellen und Aktivitäten nach einer Kompromittierung erhöhen, indem sie Netzwerk-, Endpunkt-, Identitäts- und Anwendungstelemetrie mit verhaltensbasiertem Erkennungsinhalt korrelieren.

Klicken Erkunden Sie Erkennungen um auf relevante Erkennungsinhalte und Jagdlogik zuzugreifen. Um CVE-2026-108142 zu erkennen, sollten Verteidiger die Bestandsaufnahme der Schwachstellen mit der Überwachung von Veeam-Diensten, administrativen Aktivitäten, Systemänderungen und Netzwerkzugriff auf die Backup-Infrastruktur kombinieren.

Vertrieb kontaktieren

Analyse von CVE-2026-108142

Die Schwachstelle befindet sich im Veeam CDP-Koordinierungsdienst, einer Komponente von Veeam Backup & Replication, die für die Koordination von kontinuierlichen Datenschutzmaßnahmen verantwortlich ist.

Laut der Veeam-Dokumentation läuft der CDP-Koordinierungsdienst auf dem Backup-Server und kommuniziert mit VMware vCenter, weist CDP-Aufgaben zu, verwaltet Infrastrukturkomponenten, die am kontinuierlichen Datenschutz beteiligt sind, und koordiniert Replikations- und Datentransfer-Operationen.

Dies macht Autorisierungskontrollen um den Dienst besonders wichtig. Der Backup-Server fungiert als Konfigurations- und Verwaltungszentrale der Backup-Infrastruktur, während der CDP-Koordinierungsdienst mit Infrastrukturkomponenten interagieren kann, die an der Replikation beteiligt sind.

Details zu CVE-2026-108142 bleiben in der öffentlichen Bekanntgabe absichtlich begrenzt.

Veeam beschreibt die Schwachstelle so, dass ein nicht authentifizierter Angreifer in der Lage ist, Autorisierungen auf dem CDP-Koordinierungsdienst zu umgehen, gibt jedoch kein verwundbares Anfrage, betroffene Funktion, Protokollinteraktion, Nutzungsschritte oder zugrunde liegenden Implementierungsfehler preis.

Der CVE wird als CWE-636 kategorisiert, nicht sicher scheitern, allgemein beschrieben als ein „fail-open“-Zustand. Diese Schwäche tritt auf, wenn ein Sicherheitsmechanismus einen Fehler oder einen unerwarteten Zustand erfährt und in einen weniger sicheren Zustand übergeht, anstatt den Zugriff zu verweigern.

Die CWE-Klassifizierung allein sollte jedoch nicht verwendet werden, um den genauen Implementierungsfehler in Veeams Software zu schließen. Der Anbieter hat nicht genügend technische Informationen veröffentlicht, um genau zu bestimmen, wie der Autorisierungsumgehung ausgelöst wird.

Der CVSS v4.0-Vektor lautet:

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:H/VA:H/SC:N/SI:H/SA:H

Dies bedeutet:

• Netzwerkbasierter Angriffsvektor
• Niedrige Angriffs-Komplexität
• Zusätzliche Angriffsanforderungen vorhanden
• Keine Privilegien erforderlich
• Keine Benutzerinteraktion erforderlich
• Keine direkte Auswirkung auf die Vertraulichkeit ermittelt
• Hohe Integritäts- und Verfügbarkeitsauswirkung
• Hohe Integritäts- und Verfügbarkeitsauswirkung auf nachfolgende Systeme

Diese letzte Unterscheidung ist wichtig. Veeams Bewertung legt nahe, dass eine erfolgreiche Ausnutzung nicht nur das anfällige Backupsystem, sondern auch nachgelagerte Systeme betreffen könnte. Der Anbieter hat jedoch nicht genau beschrieben, welche Operationen ein Angreifer nach der Umgehung der Autorisierung durchführen kann.

Weder Veeam noch die bereitgestellten Berichte geben an, dass die Schwachstelle eine beliebige Remote-Code-Ausführung ermöglicht.

CybersecurityNews weist speziell darauf hin, dass der Hinweis keine Angriffssequenz beschreibt oder behauptet, dass der Fehler RCE ermöglicht. Auch CyberPress gibt an, dass Veeam keine Ausbeutungsschritte veröffentlicht oder die Codeausführung behauptet hat.

Daher würden Behauptungen, dass der Fehler direkt Shellzugriff, SYSTEM-Privilegien, Anmeldeinformationsdiebstahl oder die Ausführung beliebiger Befehle bietet, derzeit über die verfügbaren Beweise hinausgehen.

CVE-2026-108142 betrifft zwei Veeam Backup & Replication 13-Zweige:

• Version 13.1.1.18 und frühere 13.1 Builds
• Version 13.0.2.29 und frühere 13.0 Builds

Die Schwachstelle gilt sowohl für Windows-basierte Veeam Backup & Replication-Installationen als auch Veeam Software Appliance-Bereitstellungen.

Veeam Backup & Replication 12.x und andere ältere, vom Anbieter identifizierte Versionen sind von diesem speziellen Problem nicht betroffen.

Organisationen sollten die genaue Build erkennen, anstatt sich nur auf die Hauptversionsnummer zu verlassen.

Zum Beispiel könnte eine Installation, die Version 13.1 meldet, immer noch anfällig sein, wenn sie nicht auf Build 13.1.2.57 oder später aktualisiert wurde.

Administratoren können ihre installierte Backup & Replication-Build aus der Produktoberfläche überprüfen und mit Veeams Freigabeinformationen vergleichen.

Zum Zeitpunkt der Erstellung dieses Dokuments wurde kein öffentliches CVE-2026-108142 PoC von Veeam oder den bereitgestellten Sicherheitsberichten dokumentiert. Auch die unabhängige öffentliche Schwachstellenverfolgung berichtet von keinem offen verfügbaren Machbarkeitsnachweis.

Veeam hat ebenfalls keine aktive Ausbeutung der Schwachstelle gemeldet.

Diese Unterscheidung ist besonders relevant, weil die Veeam-Infrastruktur in früheren Angriffen über andere Schwachstellen angegriffen wurde. CybersecurityNews weist auf die frühere Ausnutzung von CVE-2024-40711 in Ransomware-Operationen hin, aber diese historische Aktivität zeigt keine Ausnutzung der neu offengelegten Autorisierungsumgehung.

Ab dem 29. Oktober 2026 ist das neue CVE auch nicht im CISA-Katalog bekannter ausgenutzter Schwachstellen gemäß den derzeit verfügbaren Schwachstellennachverfolgungsdaten aufgeführt.

Es gibt daher keine bestätigten kampagnenspezifischen CVE-2026-108142 Indikatoren wie bösartige IP-Adressen, Domains, Hashes, Exploit-Payloads oder bekannte Angreiferinfrastruktur, die mit dieser Schwachstelle in Verbindung stehen.

Sicherheitsteams sollten sich stattdessen auf die Bewertung der Exposition und das Verhaltensmonitoring konzentrieren.

Mögliche Untersuchungspunkte umfassen:

• Netzwerkverbindungen zur Veeam Backup-Infrastruktur von unerwarteten Systemen
• Unerwartete Interaktionen mit dem CDP-Koordinierungsdienst
• Unbefugte Änderungen an der Backup- oder CDP-Konfiguration
• Neue oder geänderte Backup-Aufgaben ohne administrative Erklärung
• Unerwartete Service-Neustarts oder -Ausfälle
• Änderungen der Replikationsrichtlinien
• Änderungen an geschützten Infrastrukturen, die nicht mit genehmigten administrativen Aktivitäten übereinstimmen
• Verdächtige Konto- oder Berechtigungsänderungen auf dem Backup-Server
• Unerwartete Prozesse oder Netzwerkaktivitäten, die von der Veeam-Infrastruktur ausgehen
• Versuche, Backup-Verwaltungsdienste von Benutzernetzen oder internetbasierten Systemen aus zu erreichen

Dieses Verhalten sind keine schwachstellenspezifischen Indikatoren. Sie sind defensive Jagdmöglichkeiten, die helfen können, verdächtige Aktivitäten im Zusammenhang mit einem kritischen Backup-Server aufzudecken, während technische Ausbeutungsdetails noch nicht verfügbar sind.

Organisationen sollten auch die Netzwerksegmentierung um die Veeam-Infrastruktur überprüfen.

Backup-Server sollten nicht umfassend von normalen Arbeitsplätzen, Gastumgebungen oder nicht vertrauenswürdigen Netzwerken erreichbar sein. Nur Systeme, die Kommunikation mit Veeam-Diensten erfordern, sollten sich mit den entsprechenden Schnittstellen und Ports verbinden dürfen.

Dies reduziert die Anzahl der Systeme, die mit einem anfälligen Dienst interagieren können, während Patches eingespielt werden.

Das Oktober-Sicherheitsupdate behebt auch drei zusätzliche Schwachstellen.

CVE-2026-108140 und CVE-2026-108141 sind mittlere Schwere Relative Path Traversal-Schwachstellen mit einem CVSS-Wert von 5.9. Die Ausnutzung erfordert einen authentifizierten Wiederherstellungsoperator, der auch den Inhalt eines gesicherten NAS-Shares kontrolliert. Unter diesen Bedingungen können angreifergesteuerte Dateien an beliebige Orte auf dem Backup-Server geschrieben werden.

Ein separates Problem, CVE-2026-105477, betrifft Veeam Agent für Linux-Installationen, die von Backup & Replication verwaltet werden. Die hochschwere Schwachstelle kann eine lokale Privilegieneskalation ermöglichen und wird in Veeam Agent für Linux 13.1.2, Build 13.1.2.11 behoben.

Organisationen, die die Oktober-Updates anwenden, sollten daher ihre gesamte Veeam-Umgebung überprüfen, anstatt nur die kritische Autorisierungsumgehung zu adressieren.

CVE-2026-108142 Minderung

Die primäre Abhilfe besteht darin, die aktualisierten Veeam Backup & Replication-Versionen zu installieren.

Für den 13.1-Zweig upgraden zu:

Veeam Backup & Replication 13.1.2 — Build 13.1.2.57

Für den 13.0-Zweig upgraden zu:

Veeam Backup & Replication 13.0.3 — Build 13.0.3.63

Diese Builds enthalten die vom Anbieter bereitgestellte Lösung für die Autorisierungsschwachstelle.

Die empfohlene CVE-2026-108142 Abminderung Der Prozess sollte mit der Identifizierung jedes Veeam Backup & Replication-Servers und der Bestimmung seines genau installierten Builds beginnen.

Sicherheitsteams sollten Upgrades für Backup-Server priorisieren, die über große Netzwerkschnittstellen zugänglich sind, mit kritischer Virtualisierungsinfrastruktur verbunden sind oder hochbelastete Produktionsworkloads unterstützen.

Der Patch sollte als Sicherheitspriorität behandelt werden, da laut dem veröffentlichten CVSS-Vektor keine authentifizierte Konto benötigt wird.

Veeam hat keinen vollständigen Workaround in KB4948 veröffentlicht, der die Schwachstelle ohne Installation der aktualisierten Software beseitigt.

Wenn ein sofortiges Upgrade betrieblich nicht möglich ist, sollten Organisationen Verteidigung-in-Tiefe-Maßnahmen ergreifen, bis die Patches abgeschlossen sind:

• Zugriff auf Veeam-Backup-Server unter Verwendung der Netzwerksegmentierung einschränken.
• Verbindungen nur von Systemen zulassen, die legitim Zugriff benötigen.
• Unnötige Kommunikation von Arbeitsstationen und Benutzer-VLANs blockieren.
• Direkte Internetexposition der Backup-Infrastruktur verhindern.
• Host-basierte Firewall-Einschränkungen anwenden, wo es betrieblich angemessen ist.
• Zugriff auf Veeam-Dienste von unerwarteten Systemen überwachen.
• Änderungen in der Verwaltung und Backup-Konfiguration überprüfen.
• Den Backup-Server auf ungewöhnliche Prozesse oder ausgehende Verbindungen überwachen.
• Administrative Anmeldeinformationen mit starker Authentifizierung und dem Prinzip der geringsten Privilegien schützen.
• Unveränderliche oder Offline-Backup-Kopien, wo möglich, aufrechterhalten.

Diese Kontrollen reduzieren die Angriffsfläche, sollten jedoch nicht als Ersatz für das Anbieter-Update betrachtet werden.

Die Freigabeinformationen von Veeam geben an, dass 13.1.2.57 ein kumulatives Update ist, das Sicherheitsanfälligkeiten zusammen mit anderen gemeldeten Problemen behebt. Der Patch kann über Veeams Aktualisierungsmechanismen vertrieben oder mithilfe aktualisierter Installationsmedien installiert werden.

Nach dem Upgrade sollten Administratoren überprüfen, ob der erwartete feste Build ausgeführt wird.

Sie sollten auch bestätigen, dass Backup- und Replikationsjobs normal funktionieren und Wiederherstellungsfähigkeiten testen. Sicherheitsupdates für Backup-Infrastrukturen sollten erst als abgeschlossen betrachtet werden, wenn die Wiederherstellbarkeit validiert wurde.

Da keine schwachstellenspezifischen Ausbeutungsindikatoren derzeit öffentlich sind, sollten Organisationen die historische Aktivität auf Systemen betrachten, die vor dem Patchen anfällig geblieben sind.

Wichtige Quellen umfassen:

• Veeam-Dienstprotokolle
• Windows-Ereignisprotokolle
• Veeam-Konfiguration und Auftragsverlauf
• EDR-Telemetrie von Backup-Servern
• Firewall- und Netzwerkflussprotokolle
• Authentifizierungsaufzeichnungen
• Administrative Aktivitäten
• vCenter- und Virtualisierungsmanagement-Protokolle

Sicherheitsteams sollten unerwartete Änderungen an Aufträgen, Repositories, Replikationskonfiguration, Schutzrichtlinien, Infrastrukturkomponenten oder administrativen Konten untersuchen.

Die Integrität der Backups sollte ebenfalls überprüft werden.

Angreifer zielen häufig während größerer Einbrüche auf Backup-Systeme ab, um die Wiederherstellung zu beeinträchtigen. Auch wenn in öffentlichen Berichten keine Ransomware-Ausnutzung dieses CVE festgestellt wird, sollten Organisationen bei der Untersuchung verdächtiger Aktivitäten bestätigen, dass Wiederherstellungspunkte, unveränderliche Kopien und Offline-Backups nicht verändert wurden.

Wo eine Kompromittierung nicht ausgeschlossen werden kann, sollten Vorfalluntersucher saubere Backup-Kopien schützen, bevor sie die Schadensbehebung durchführen.

Anmeldeinformationen, die über die Backup-Infrastruktur zugänglich sind, sollten ebenfalls überprüft und gedreht werden, wenn Hinweise auf unbefugten Zugriff vorliegen.

Organisationen, die Veeam Agent für Linux verwenden, das von Backup & Replication verwaltet wird, sollten ihre anfälligen Agenten separat auf Version 13.1.2, Build 13.1.2.11, upgraden, um CVE-2026-105477 zu beheben.

Die kritische Autorisierungsumgehung und die drei zusätzlichen Schwachstellen wurden über HackerOne an Veeam gemeldet. Veeam hat am 27. Oktober 2026 Korrekturen für alle vier Probleme veröffentlicht.

Haftungsausschluss: Erkennungsinhalte sind möglicherweise nicht für jeden CVE verfügbar. Überprüfen Sie die SOC Prime-Plattform auf aktuelle Abdeckung. Wenn relevante Erkennungen noch nicht verfügbar sind, überprüfen Sie später erneut, da kontinuierlich neue Bedrohungsinformationen und Erkennungsinhalte hinzugefügt werden.