CVE-2026-108142 : Contournement d’Autorisation Critique dans Veeam Backup & Replication

Veeam a publié des mises à jour de sécurité pour corriger la CVE-2026-108142, une vulnérabilité critique de contournement d’autorisation affectant Veeam Backup & Replication 13. La faille permet à un attaquant distant non authentifié de contourner les contrôles d’autorisation associés au service Coordinateur CDP de Veeam.

La vulnérabilité a un score CVSS v4.0 de 9.1 et affecte à la fois les déploiements de Veeam Backup & Replication basés sur Windows et l’application Veeam Software Appliance. Veeam a divulgué le problème le 27 octobre 2026 dans le cadre de l’avis de sécurité KB4948.

L’infrastructure de sauvegarde est une cible de sécurité particulièrement sensible car elle contient des données de récupération et a souvent une connectivité privilégiée avec les systèmes de production. Une faiblesse d’autorisation affectant un composant central de sauvegarde nécessite donc une attention immédiate, même si le fournisseur n’a pas documenté publiquement la chaîne d’exploitation complète.

Le vecteur CVSS de Veeam identifie une exploitation basée sur le réseau avec une faible complexité d’attaque, aucun privilège requis, et aucune interaction utilisateur nécessaire. Cependant, le vecteur spécifie également que des exigences d’attaque supplémentaires doivent être présentes. Veeam n’a pas expliqué publiquement ces prérequis.

La vulnérabilité affecte Veeam Backup & Replication 13.1.1.18 et toutes les versions antérieures de la branche 13.1, ainsi que la version 13.0.2.29 et toutes les versions antérieures de la 13.0. Veeam précise explicitement que les versions plus anciennes, telles que la version 12.x, ne sont pas affectées par cette faille spécifique.

Pour la détection de la CVE-2026-108142, les équipes de sécurité devraient donner la priorité à l’identification des installations vulnérables de Backup & Replication et à la surveillance du serveur de sauvegarde pour détecter toute activité inattendue impliquant le service Coordinateur CDP, des changements de configuration non autorisés, des modifications suspectes de l’infrastructure de sauvegarde, et des connexions réseau à partir de systèmes non approuvés.

Les utilisateurs de SOC Prime peuvent renforcer la visibilité sur l’exploitation des vulnérabilités et l’activité post-compromission en corrélant la télémétrie réseau, point de terminaison, identité, et application avec du contenu de détection basé sur le comportement.

Cliquez Explorer les Détections pour accéder au contenu de détection pertinent et à la logique de chasse. Pour détecter la CVE-2026-108142, les défenseurs doivent combiner l’inventaire des vulnérabilités avec la surveillance des services Veeam, l’activité administrative, les changements de système, et l’accès réseau à l’infrastructure de sauvegarde.

Contacter les Ventes

Analyse de la CVE-2026-108142

La vulnérabilité se trouve dans le service Coordinateur CDP de Veeam, un composant de Veeam Backup & Replication responsable de la coordination des opérations de Protection Continue des Données.

Selon la documentation de Veeam, le service Coordinateur CDP fonctionne sur le serveur de sauvegarde et communique avec VMware vCenter, assigne les tâches CDP, gère les composants d’infrastructure impliqués dans la Protection Continue des Données, et coordonne les opérations de réplication et de transfert de données.

Cela rend les contrôles d’autorisation autour du service particulièrement importants. Le serveur de sauvegarde agit comme le cœur de configuration et de gestion de l’infrastructure de sauvegarde, tandis que le service Coordinateur CDP peut interagir avec les composants d’infrastructure impliqués dans la réplication.

Les détails de la CVE-2026-108142 restent délibérément limités dans la divulgation publique.

Veeam décrit la vulnérabilité comme permettant à un attaquant non authentifié de contourner l’autorisation sur le service Coordinateur CDP mais ne divulgue pas la requête vulnérable, la fonction affectée, l’interaction avec le protocole, la séquence d’exploitation, ou le défaut d’implémentation sous-jacent.

La CVE est catégorisée comme CWE-636, Ne Pas Échouer en Sécurité, communément décrite comme une condition de « fail-open ». Cette classe de faiblesse survient lorsqu’un mécanisme de sécurité rencontre une erreur ou un état inattendu et tombe dans une condition moins sécurisée plutôt que d’interdire l’accès.

Cependant, la classification CWE seule ne devrait pas être utilisée pour déduire l’erreur d’implémentation précise dans le logiciel de Veeam. Le fournisseur n’a pas publié suffisamment d’informations techniques pour déterminer exactement comment le contournement d’autorisation est déclenché.

Le vecteur CVSS v4.0 est :

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:H/VA:H/SC:N/SI:H/SA:H

Cela indique :

• Vecteur d’attaque basé sur le réseau
• Complexité d’attaque faible
• Présence de exigences d’attaque supplémentaires
• Aucun privilège requis
• Aucune interaction utilisateur requise
• Aucun impact direct sur la confidentialité identifié
• Impact élevé sur l’intégrité et la disponibilité
• Impact élevé sur l’intégrité et la disponibilité sur les systèmes subséquents

Cette dernière distinction est importante. La notation de Veeam suggère que l’exploitation réussie pourrait affecter non seulement le système de sauvegarde vulnérable, mais aussi les systèmes en aval. Cependant, le fournisseur n’a pas décrit exactement quelles opérations un attaquant peut effectuer après avoir contourné l’autorisation.

Ni Veeam ni les rapports fournis n’indiquent que la vulnérabilité permet l’exécution de code à distance arbitraire.

CybersecurityNews note spécifiquement que l’avis ne décrit pas une séquence d’attaque ni ne dit que la faille permet une RCE. CyberPress affirme également que Veeam n’a pas publié de démarche d’exploitation ou revendiqué une exécution de code.

Par conséquent, les affirmations selon lesquelles la faille fournit directement un accès au shell, des privilèges SYSTEM, un vol de crédentials, ou une exécution de commandes arbitraires dépasserait actuellement les preuves disponibles.

CVE-2026-108142 affecte deux branches de Veeam Backup & Replication 13 :

• Version 13.1.1.18 et versions antérieures 13.1
• Version 13.0.2.29 et versions antérieures 13.0

La vulnérabilité s’applique à la fois aux installations de Veeam Backup & Replication basées sur Windows et aux déploiements de Veeam Software Appliance.

Veeam Backup & Replication 12.x et d’autres versions plus anciennes identifiées par le fournisseur ne sont pas affectées par ce problème particulier.

Les organisations devraient vérifier la construction exacte plutôt que de se fier uniquement au numéro de version majeur.

Par exemple, une installation signalant la version 13.1 peut encore être vulnérable tant qu’elle n’a pas été mise à jour à la construction 13.1.2.57 ou ultérieure.

Les administrateurs peuvent examiner leur construction installée de Backup & Replication à partir de l’interface du produit et la comparer avec les informations de publication de Veeam.

Au moment de l’écriture, aucun PoC CVE-2026-108142 public n’a été documenté par Veeam ou les rapports de sécurité fournis. Les suivis publics indépendants de vulnérabilité signalent également qu’aucune preuve de concept d’exploitation n’est disponible publiquement.

Veeam n’a pas non plus signalé d’exploitation active de la vulnérabilité.

Cette distinction est particulièrement pertinente car l’infrastructure Veeam a été ciblée à travers d’autres vulnérabilités lors d’attaques précédentes. CybersecurityNews note une exploitation antérieure de la CVE-2024-40711 dans des opérations de ransomware, mais cette activité historique ne démontre pas d’exploitation du contournement d’autorisation nouvellement divulgué.

Au 29 octobre 2026, la nouvelle CVE n’est pas non plus listée dans le catalogue des vulnérabilités exploitées connues de la CISA selon les données de suivi des vulnérabilités actuellement disponibles.

Il n’y a donc pas d’IOCs spécifiques à la campagne confirmés pour la CVE-2026-108142, tels que des adresses IP malveillantes, des domaines, des hachages, des charges d’exploitation, ou une infrastructure d’attaquant connue associée à cette vulnérabilité.

Les équipes de sécurité devraient plutôt se concentrer sur l’évaluation de l’exposition et la surveillance comportementale.

Les points d’investigation potentiels incluent :

• Connexions réseau à l’infrastructure de sauvegarde Veeam depuis des systèmes inattendus
• Interaction inattendue avec le service Coordinateur CDP
• Changements non autorisés de configuration de sauvegarde ou de CDP
• Nouveaux travaux de sauvegarde ou modifiés sans explication administrative
• Redémarrages de service ou échecs inattendus
• Changements de politique de réplication
• Modifications de l’infrastructure protégée qui ne correspondent pas à une activité administrative approuvée
• Changements suspects de compte ou de privilège sur le serveur de sauvegarde
• Processus ou activités réseau inattendus provenant de l’infrastructure Veeam
• Tentatives d’atteindre les services de gestion de sauvegarde à partir de réseaux d’utilisateurs ou de systèmes exposés à Internet

Ces comportements ne sont pas des indicateurs spécifiques à la vulnérabilité. Ce sont des opportunités de chasse défensive qui peuvent aider à découvrir des activités suspectes impliquant un serveur de sauvegarde critique tant que les détails techniques d’exploitation restent indisponibles.

Les organisations devraient également examiner la segmentation du réseau autour de l’infrastructure Veeam.

Les serveurs de sauvegarde ne devraient pas être largement accessibles à partir des postes de travail ordinaires, des environnements invités ou de segments de réseau non approuvés. Seuls les systèmes nécessitant une communication avec les services Veeam devraient être autorisés à atteindre les interfaces et ports concernés.

Cela réduit le nombre de systèmes capables d’interagir avec un service vulnérable pendant que les correctifs sont déployés.

La mise à jour de sécurité d’octobre corrige également trois autres vulnérabilités.

CVE-2026-108140 et CVE-2026-108141 sont des vulnérabilités de traversée de chemin d’accès relatif de gravité moyenne évaluées CVSS 5.9. L’exploitation nécessite un opérateur de restauration authentifié qui contrôle également le contenu d’un partage NAS sauvegardé. Dans ces conditions, les fichiers contrôlés par l’attaquant peuvent être écrits à des emplacements arbitraires sur le serveur de sauvegarde.

Un problème distinct, la CVE-2026-105477, affecte les installations du Veeam Agent pour Linux gérées par Backup & Replication. La vulnérabilité de gravité élevée peut permettre une élévation locale de privilèges et est corrigée dans le Veeam Agent pour Linux 13.1.2, construction 13.1.2.11.

Les organisations appliquant les mises à jour d’octobre devraient donc revoir l’ensemble de leur environnement Veeam plutôt que de traiter uniquement le contournement d’autorisation critique.

Atténuation de la CVE-2026-108142

La principale mesure de remédiation est d’installer les versions corrigées de Veeam Backup & Replication.

Pour la branche 13.1, mettez à niveau vers :

Veeam Backup & Replication 13.1.2 — construction 13.1.2.57

Pour la branche 13.0, mettez à niveau vers :

Veeam Backup & Replication 13.0.3 — construction 13.0.3.63

Ces versions contiennent la correction fournie par le fournisseur pour la vulnérabilité d’autorisation.

Le processus d’atténuation de la CVE-2026-108142 recommandé devrait commencer par l’identification de chaque serveur Veeam Backup & Replication et la détermination de sa construction installée exacte.

Les équipes de sécurité devraient donner la priorité aux mises à niveau pour les serveurs de sauvegarde accessibles à travers de larges segments de réseau, connectés à une infrastructure de virtualisation critique ou supportant des charges de travail de production de haute valeur.

Le correctif doit être traité comme une priorité car l’exploitation ne nécessite aucun compte authentifié selon le vecteur CVSS publié.

Veeam n’a pas publié de solution complète dans le KB4948 qui élimine la vulnérabilité sans installer le logiciel corrigé.

Si une mise à niveau immédiate est impossible sur le plan opérationnel, les organisations devraient appliquer des mesures de défense en profondeur jusqu’à ce que la mise à jour puisse être effectuée :

• Restreindre l’accès aux serveurs de sauvegarde Veeam à l’aide de la segmentation réseau.
• Autoriser les connexions uniquement depuis des systèmes nécessitant légitimement l’accès.
• Bloquer les communications inutiles depuis les VLAN de postes de travail et d’utilisateurs.
• Empêcher l’exposition directe sur Internet de l’infrastructure de sauvegarde.
• Appliquer des restrictions de pare-feu basées sur l’hôte lorsque cela est opérationnellement approprié.
• Surveiller l’accès aux services Veeam depuis des systèmes inattendus.
• Examiner les changements administratifs et de configuration de sauvegarde.
• Surveiller le serveur de sauvegarde pour des exécutions de processus inhabituelles ou des connexions sortantes.
• Protéger les crédentials administratifs en utilisant une authentification forte et le principe de moindre privilège.
• Maintenir des copies de sauvegarde immuables ou hors ligne autant que possible.

Ces contrôles réduisent la surface d’attaque mais ne devraient pas être considérés comme des substituts à la mise à jour du fournisseur.

Les informations de publication de Veeam indiquent que 13.1.2.57 est un correctif cumulatif traitant les vulnérabilités de sécurité ainsi que d’autres problèmes signalés. Le patch peut être distribué via les mécanismes de mise à jour de Veeam ou installé à l’aide de médias d’installation mis à jour.

Après la mise à niveau, les administrateurs devraient vérifier que la construction corrigée attendue fonctionne.

Ils devraient également confirmer que les jobs de sauvegarde et de réplication fonctionnent normalement et tester les capacités de restauration. Les mises à jour de sécurité pour l’infrastructure de sauvegarde ne devraient pas être considérées comme complètes tant que la restaurabilité n’a pas été validée.

Étant donné qu’aucun indicateur d’exploitation spécifique à la vulnérabilité n’est actuellement public, les organisations devraient revoir l’activité historique sur les systèmes qui sont restés vulnérables avant le patching.

Les sources importantes incluent :

• Logs de service Veeam
• Logs d’événements Windows
• Historique de configuration et de job Veeam
• Télémétrie EDR des serveurs de sauvegarde
• Logs de pare-feu et de flux réseau
• Enregistrements d’authentification
• Activité administrative
• Logs de gestion vCenter et de virtualisation

Les équipes de sécurité devraient enquêter sur les changements inattendus de jobs, de référentiels, de configuration de réplication, de politiques de protection, de composants d’infrastructure, ou de comptes administratifs.

L’intégrité des sauvegardes devrait également être vérifiée.

Les attaquants ciblent fréquemment les systèmes de sauvegarde lors d’intrusions plus larges pour compromettre la récupération. Même si les rapports publics n’établissent pas l’exploitation ransomware de ce CVE, les organisations enquêtant sur une activité suspecte devraient confirmer que les points de restauration, les copies immuables, et les sauvegardes hors ligne n’ont pas été modifiés.

Lorsqu’une compromission ne peut être exclue, les intervenants en cas d’incident devraient protéger les copies de sauvegarde propres avant de procéder à la remédiation.

Les crédentials accessibles depuis l’infrastructure de sauvegarde devraient également être examinés et modifiés si des preuves indiquent un accès non autorisé.

Les organisations utilisant Veeam Agent pour Linux géré par Backup & Replication devraient mettre à niveau séparément les agents vulnérables vers la version 13.1.2, construction 13.1.2.11, pour remédier à la CVE-2026-105477.

Le contournement d’autorisation critique et les trois autres vulnérabilités ont été signalés à Veeam via HackerOne. Veeam a publié des correctifs pour les quatre problèmes le 27 octobre 2026.

Disclaimer : Le contenu de détection peut ne pas être disponible pour chaque CVE. Vérifiez la plateforme SOC Prime pour la couverture actuelle. Si les détections pertinentes ne sont pas encore disponibles, vérifiez à nouveau car de nouvelles informations sur les menaces et du contenu de détection sont continuellement ajoutés.