CVE-2026-108142: Critica Autorizzazione Aggirata in Veeam Backup & Replication

Veeam ha rilasciato aggiornamenti di sicurezza per affrontare CVE-2026-108142, una vulnerabilità critica di aggiramento dell’autorizzazione che interessa Veeam Backup & Replication 13. Il difetto consente a un attaccante remoto non autenticato di aggirare i controlli di autorizzazione associati al Servizio di Coordinamento CDP di Veeam.

La vulnerabilità ha un punteggio CVSS v4.0 di 9.1 e interessa sia le installazioni di Veeam Backup & Replication basate su Windows sia l’Appliance Software di Veeam. Veeam ha divulgato il problema il 27 ottobre 2026 come parte dell’avviso di sicurezza KB4948.

L’infrastruttura di backup è un bersaglio di sicurezza particolarmente sensibile perché contiene dati di ripristino e spesso ha connettività privilegiata ai sistemi di produzione. Una debolezza di autorizzazione che coinvolge un componente centrale di backup richiede quindi immediata attenzione, anche se il fornitore non ha documentato pubblicamente la catena completa di sfruttamento.

Il vettore CVSS di Veeam identifica lo sfruttamento basato su rete con bassa complessità dell’attacco, nessun privilegio richiesto e nessuna interazione dell’utente. Tuttavia, il vettore specifica anche che devono essere presenti ulteriori requisiti di attacco. Veeam non ha spiegato pubblicamente questi prerequisiti.

La vulnerabilità colpisce Veeam Backup & Replication 13.1.1.18 e tutte le build precedenti nel ramo 13.1, così come la versione 13.0.2.29 e tutte le build precedenti del 13.0. Veeam afferma esplicitamente che le release più vecchie, come la versione 12.x, non sono interessate da questo specifico difetto.

Per il rilevamento di CVE-2026-108142, i team di sicurezza dovrebbero dare priorità all’identificazione delle installazioni vulnerabili di Backup & Replication e monitorare il server di backup per attività inattese che coinvolgono il Servizio di Coordinamento CDP, cambiamenti di configurazione non autorizzati, modifiche sospette all’infrastruttura di backup e connessioni di rete da sistemi non fidati.

Gli utenti di SOC Prime possono rafforzare la visibilità sull’esploit delle vulnerabilità e sull’attività post-compromise correlando la telemetria di rete, endpoint, identità e applicazioni con contenuti di rilevamento basati sul comportamento.

Clicca Esplora Rilevamenti per accedere a contenuti di rilevamento pertinenti e logica di caccia. Per rilevare CVE-2026-108142, i difensori dovrebbero combinare l’inventario delle vulnerabilità con il monitoraggio dei servizi Veeam, l’attività amministrativa, i cambiamenti di sistema e l’accesso alla rete all’infrastruttura di backup.

Contatta Vendite

Analisi CVE-2026-108142

La vulnerabilità si trova nel Servizio di Coordinamento CDP di Veeam, un componente di Veeam Backup & Replication responsabile del coordinamento delle operazioni di Protezione Dati Continua.

Secondo la documentazione di Veeam, il Servizio di Coordinamento CDP gira sul server di backup e comunica con VMware vCenter, assegna compiti CDP, gestisce i componenti dell’infrastruttura coinvolti nella Protezione Dati Continua e coordina le operazioni di replica e trasferimento dati.

Questo rende particolarmente importanti i controlli di autorizzazione attorno al servizio. Il server di backup funge da nucleo di configurazione e gestione dell’infrastruttura di backup, mentre il Servizio di Coordinamento CDP può interagire con i componenti dell’infrastruttura coinvolti nella replica.

I dettagli per CVE-2026-108142 rimangono intenzionalmente limitati nella divulgazione pubblica.

Veeam descrive la vulnerabilità come consentente a un attaccante non autenticato di aggirare l’autorizzazione sul Servizio di Coordinamento CDP, ma non divulga la richiesta vulnerabile, la funzione interessata, l’interazione del protocollo, la sequenza di sfruttamento o il difetto di implementazione sottostante.

Il CVE è classificato come CWE-636, Non Fallire in Modo Sicuro, comunemente descritto come una condizione di “fallimento-aperto”. Questa classe di debolezza si verifica quando un meccanismo di sicurezza incontra un errore o uno stato inaspettato e cade in una condizione meno sicura invece di negare l’accesso.

Tuttavia, la classificazione CWE da sola non dovrebbe essere usata per inferire l’errore di implementazione preciso nel software di Veeam. Il fornitore non ha pubblicato informazioni tecniche sufficienti per determinare esattamente come viene scatenato l’aggiramento dell’autorizzazione.

Il vettore CVSS v4.0 è:

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:H/VA:H/SC:N/SI:H/SA:H

Questo indica:

• Vettore di attacco basato su rete
• Bassa complessità dell’attacco
• Requisiti di attacco aggiuntivi presenti
• Nessun privilegio richiesto
• Nessuna interazione dell’utente richiesta
• Nessun impatto diretto sulla confidenzialità identificato
• Alto impatto su integrità e disponibilità
• Alto impatto su integrità e disponibilità sui sistemi successivi

Quell’ultima distinzione è importante. Il punteggio di Veeam suggerisce che lo sfruttamento riuscito potrebbe influire non solo sul sistema di backup vulnerabile ma anche sui sistemi a valle. Tuttavia, il fornitore non ha descritto esattamente quali operazioni un attaccante può eseguire dopo aver aggirato l’autorizzazione.

Né Veeam né i rapporti forniti affermano che la vulnerabilità fornisca esecuzione remota di codice arbitraria.

CybersecurityNews nota specificamente che l’avviso non descrive una sequenza di attacco o afferma che il difetto abilità l’RCE. CyberPress allo stesso modo afferma che Veeam non ha pubblicato passaggi di sfruttamento o dichiarato l’esecuzione di codice.

Pertanto, affermazioni secondo cui il difetto fornisca direttamente accesso alla shell, privilegi di SISTEMA, furto di credenziali o esecuzione arbitraria di comandi andrebbero attualmente oltre le prove disponibili.

CVE-2026-108142 colpisce due rami di Veeam Backup & Replication 13:

• Versione 13.1.1.18 e build precedenti del 13.1
• Versione 13.0.2.29 e build precedenti del 13.0

La vulnerabilità si applica sia alle installazioni di Veeam Backup & Replication basate su Windows che alle installazioni dell’Appliance Software di Veeam.

Veeam Backup & Replication 12.x e altre release più vecchie identificate dal fornitore non sono interessate da questo specifico problema.

Le organizzazioni dovrebbero verificare l’esatta build piuttosto che fare affidamento solo sul numero di versione principale.

Ad esempio, un’installazione che riporta la versione 13.1 potrebbe ancora essere vulnerabile a meno che non sia stata aggiornata alla build 13.1.2.57 o successiva.

Gli amministratori possono rivedere la build di Backup & Replication installata dalla loro interfaccia del prodotto e confrontarla con le informazioni di rilascio di Veeam.

Al momento della scrittura, nessuna PoC pubblica per CVE-2026-108142 è stata documentata da Veeam o dai report di sicurezza forniti. Anche il tracciamento delle vulnerabilità pubbliche indipendenti non riporta alcun exploit proof-of-concept disponibile apertamente.

Veeam non ha nemmeno riportato uno sfruttamento attivo della vulnerabilità.

Questa distinzione è particolarmente rilevante poiché l’infrastruttura di Veeam è stata presa di mira attraverso altre vulnerabilità in attacchi precedenti. CybersecurityNews nota lo sfruttamento precedente di CVE-2024-40711 in operazioni di ransomware, ma quella attività storica non dimostra lo sfruttamento del nuovo aggiramento dell’autorizzazione recentemente divulgato.

Al 29 ottobre 2026, il nuovo CVE non è inoltre elencato nel catalogo CISA delle Vulnerabilità Note Sfruttate secondo i dati attualmente disponibili di tracciamento delle vulnerabilità.

Non ci sono quindi IOC confermati specifici per campagne di CVE-2026-108142, come indirizzi IP malevoli, domini, hash, payload di exploit o infrastrutture di aggressori conosciute associate a questa vulnerabilità.

I team di sicurezza dovrebbero invece concentrarsi sulla valutazione dell’esposizione e sul monitoraggio comportamentale.

I potenziali punti di indagine includono:

• Connessioni di rete all’infrastruttura di backup di Veeam da sistemi inattesi
• Interazioni inattese con il Servizio di Coordinamento CDP
• Cambiamenti non autorizzati alla configurazione di backup o CDP
• Nuovi o modificati lavori di backup senza una spiegazione amministrativa
• Riavvii o failure inaspettati dei servizi
• Cambiamenti alle politiche di replica
• Modifiche all’infrastruttura protetta che non corrispondono all’attività amministrativa approvata
• Cambiamenti sospetti di account o privilegi sul server di backup
• Processi o attività di rete inattesi che originano dall’infrastruttura di Veeam
• Tentativi di raggiungere i servizi di gestione del backup da reti utente o sistemi esposti a Internet

Questi comportamenti non sono indicatori specifici delle vulnerabilità. Sono opportunità di ricerca difensiva che possono aiutare a svelare attività sospette coinvolgenti un server di backup critico mentre i dettagli tecnici dello sfruttamento rimangono non disponibili.

Le organizzazioni dovrebbero anche revisionare la segmentazione della rete attorno all’infrastruttura di Veeam.

I server di backup non dovrebbero essere ampiamente accessibili da postazioni di lavoro ordinarie, ambienti guest o segmenti di rete non attendibili. Solo i sistemi che richiedono comunicazione con i servizi di Veeam dovrebbero essere autorizzati a raggiungere le interfacce e le porte pertinenti.

Questo riduce il numero di sistemi in grado di interagire con un servizio vulnerabile mentre le patch vengono distribuite.

L’aggiornamento di sicurezza di ottobre affronta anche tre ulteriori vulnerabilità.

CVE-2026-108140 e CVE-2026-108141 sono vulnerabilità di traversamento dei percorsi relativi a media gravità valutate CVSS 5.9. Lo sfruttamento richiede un Operatore di Ripristino autenticato che controlla anche i contenuti di una condivisione NAS sottoposta a backup. In tali condizioni, file controllati dall’attaccante possono essere scritti in posizioni arbitrarie sul server di backup.

Un problema separato, CVE-2026-105477, interessa installazioni di Veeam Agent per Linux gestite da Backup & Replication. La vulnerabilità ad alta gravità può consentire un’escalation locale dei privilegi ed è risolta in Veeam Agent per Linux 13.1.2, build 13.1.2.11.

Le organizzazioni che stanno applicando gli aggiornamenti di ottobre dovrebbero quindi esaminare l’intero ambiente Veeam piuttosto che affrontare solo il critico aggiramento dell’autorizzazione.

Mitigazione di CVE-2026-108142

Il principale rimedio è installare le versioni risolte di Veeam Backup & Replication.

Per il ramo 13.1, aggiornare a:

Veeam Backup & Replication 13.1.2 — build 13.1.2.57

Per il ramo 13.0, aggiornare a:

Veeam Backup & Replication 13.0.3 — build 13.0.3.63

Queste build contengono la correzione fornita dal fornitore per la vulnerabilità di autorizzazione.

La mitigazione di CVE-2026-108142 raccomandata dovrebbe iniziare identificando ogni server Veeam Backup & Replication e determinando la sua esatta build installata.

I team di sicurezza dovrebbero dare priorità agli aggiornamenti per i server di backup accessibili su grandi segmenti di rete, connessi a infrastrutture di virtualizzazione critiche o che supportano carichi di lavoro di produzione ad alto valore.

La patch dovrebbe essere trattata come una priorità di sicurezza, poiché lo sfruttamento non richiede alcun account autenticato secondo il vettore CVSS pubblicato.

Veeam non ha pubblicato un workaround completo in KB4948 che elimini la vulnerabilità senza installare il software risolto.

Se un aggiornamento immediato è operativamente impossibile, le organizzazioni dovrebbero applicare misure di difesa in profondità fino a quando il patching non può essere completato:

• Restringere l’accesso ai server di backup di Veeam usando la segmentazione della rete.
• Consentire connessioni solo da sistemi che richiedono legittimamente l’accesso.
• Bloccare la comunicazione non necessaria da VLAN di postazioni di lavoro e utenti.
• Evitare l’esposizione diretta a Internet dell’infrastruttura di backup.
• Applicare restrizioni firewall basate su host dove operativamente appropriato.
• Monitorare l’accesso ai servizi di Veeam da sistemi inattesi.
• Revisionare modifiche amministrative e configurazioni di backup.
• Monitorare il server di backup per esecuzioni di processi inusuali o connessioni in uscita.
• Proteggere le credenziali amministrative usando l’autenticazione forte e il principio del minimo privilegio.
• Mantenere copie di backup immutabili o offline dove possibile.

Questi controlli riducono la superficie d’attacco ma non devono essere considerati sostituti per l’aggiornamento del fornitore.

Le informazioni di rilascio di Veeam affermano che 13.1.2.57 è una patch cumulativa che affronta vulnerabilità di sicurezza insieme ad altri problemi segnalati. La patch può essere distribuita attraverso i meccanismi di aggiornamento di Veeam o installata utilizzando supporti d’installazione aggiornati.

Dopo l’aggiornamento, gli amministratori dovrebbero verificare che la build risolta prevista sia in esecuzione.

Dovrebbero anche confermare che i lavori di backup e replica operino normalmente e testare le capacità di ripristino. Gli aggiornamenti di sicurezza all’infrastruttura di backup non dovrebbero essere considerati completi fino a quando la recuperabilità non è stata convalidata.

Poiché non ci sono attualmente indicatori specifici di exploit pubblici delle vulnerabilità, le organizzazioni dovrebbero revisionare l’attività storica sui sistemi rimasti vulnerabili prima del patching.

Fonti importanti includono:

• Log dei servizi di Veeam
• Log degli Eventi di Windows
• Configurazione di Veeam e cronologia lavori
• Telemetria EDR dai server di backup
• Log di firewall e flussi di rete
• Record di autenticazione
• Attività amministrativa
• Log di vCenter e gestione della virtualizzazione

I team di sicurezza dovrebbero indagare su cambiamenti inaspettati a lavori, repository, configurazioni di replica, politiche di protezione, componenti dell’infrastruttura o account amministrativi.

Dovrebbe anche essere verificata l’integrità del backup.

Gli attaccanti prendono frequentemente di mira i sistemi di backup durante intrusi ancora più grandi per compromettere il recupero. Anche se il rapporto pubblico non stabilisce lo sfruttamento di ransomware di questo CVE, le organizzazioni che indagano attività sospette dovrebbero confermare che i punti di ripristino, le copie immutabili e i backup offline non siano stati alterati.

Dove non si può escludere un compromesso, i rispondenti agli incidenti dovrebbero proteggere copie di backup pulite prima di condurre la mitigazione.

Le credenziali accessibili dall’infrastruttura di backup dovrebbero anche essere revisionate e ruotate se le prove indicano accessi non autorizzati.

Le organizzazioni che eseguono Veeam Agent per Linux gestito da Backup & Replication dovrebbero separatamente aggiornare gli agenti vulnerabili alla versione 13.1.2, build 13.1.2.11, per il rimedio di CVE-2026-105477.

Il critico aggiramento dell’autorizzazione e le tre vulnerabilità aggiuntive sono state segnalate a Veeam tramite HackerOne. Veeam ha rilasciato correzioni per tutti e quattro i problemi il 27 ottobre 2026.

Disclaimer: Il contenuto di rilevamento potrebbe non essere disponibile per ogni CVE. Controlla la piattaforma SOC Prime per la copertura attuale. Se i rilevamenti pertinenti non sono ancora disponibili, controlla di nuovo poiché nuove informazioni sulle minacce e contenuti di rilevamento vengono continuamente aggiunti.