CVE-2026-108142: Критичні уразливості обходу авторизації в Veeam Backup & Replication

Veeam випустила оновлення безпеки для усунення CVE-2026-108142, критичної вразливості обходу авторизації, яка впливає на Veeam Backup & Replication 13. Недолік дозволяє неавторизованому віддаленому зловмиснику обходити контроль авторизації, пов’язаний з Veeam CDP Coordinator Service.

Вразливість має оцінку CVSS v4.0 в 9.1 і впливає на розгортання Veeam Backup & Replication на базі Windows, а також на Veeam Software Appliance. Veeam оголосила про проблему 27 жовтня 2026 року в рамках консультації з безпеки KB4948.

Інфраструктура резервного копіювання є особливо чутливою мішенню безпеки, оскільки вона містить дані відновлення і часто має привілейоване підключення до виробничих систем. Слабкість авторизації, що впливає на центральний компонент резервного копіювання, вимагає негайної уваги, навіть якщо постачальник не задокументував повний ланцюг експлуатації публічно.

Вектора CVSS від Veeam ідентифікує експлуатацію на основі мережі з низькою складністю атаки, без необхідності привілеїв і взаємодії користувача. Однак вектор також вказує на наявність додаткових вимог до атаки. Veeam не пояснила ці передумови публічно.

Вразливість впливає на Veeam Backup & Replication версії 13.1.1.18 і всі попередні збірки в гілці 13.1, а також версії 13.0.2.29 і всі попередні збірки 13.0. Veeam прямо зазначає, що старі випуски, такі як версія 12.x, не піддаються впливу цієї конкретної вразливості.

Для виявлення CVE-2026-108142 команди безпеки повинні пріоритетно визначити уразливі установки Backup & Replication і моніторити сервер резервного копіювання на предмет неочікуваної активності, яка стосується CDP Coordinator Service, несанкціонованих змін конфігурації, підозрілих модифікацій інфраструктури резервного копіювання та мережевих з’єднань з недовірених систем.

Користувачі SOC Prime можуть підвищити видимість експлуатації вразливостей і посткомпромісної активності, корелюючи телеметрію мережі, кінцевих точок, ідентичності та додатків з контентом виявлення, заснованого на поведінковому аналізі.

Клацніть Дослідити Виявлення щоб отримати доступ до відповідного змісту виявлення та логіки полювання. Для виявлення CVE-2026-108142 захисники повинні поєднувати інвентаризацію вразливостей з моніторингом служб Veeam, адміністративною активністю, змінами системи та мережевим доступом до інфраструктури резервного копіювання.

Зв’яжіться з відділом продажів

аналіз CVE-2026-108142

Вразливість розташована у Veeam CDP Coordinator Service, компоненті Veeam Backup & Replication, що відповідає за координацію операцій безперервного захисту даних.

Згідно з документацією Veeam, сервіс координатора CDP працює на сервері резервного копіювання і взаємодіє з VMware vCenter, призначає завдання CDP, управляє компонентами інфраструктури, що беруть участь у безперервному захисті даних, і координує операції реплікації і передачі даних.

Це робить контролі авторизації навколо служби особливо важливими. Сервер резервного копіювання діє як ядро конфігурації та управління інфраструктурою резервного копіювання, тоді як служба координатора CDP може взаємодіяти з компонентами інфраструктури, що беруть участь у реплікації.

Деталі CVE-2026-108142 залишаються навмисно обмеженими у публічних заявах.

Veeam описує цю вразливість як таку, що дозволяє неавторизованому нападникові обходити авторизацію на CDP Coordinator Service, але не розкриває вразливий запит, функцію, протокольну взаємодію, послідовність експлуатації або основний дефект реалізації.

CVE класифікована як CWE-636, несправність на рівні безпеки, зазвичай описана як умова «відкритого провалу». Цей клас слабких місць виникає, коли механізм безпеки стикається з помилкою або неочікуваним станом і переходить у менш безпечний стан замість того, щоб заперечувати доступ.

Однак класифікація CWE сама по собі не повинна використовуватися для виведення точного помилкового впровадження в програмному забезпеченні Veeam. Постачальник не опублікував достатньо технічної інформації, щоб точно визначити, як відбувається обхід авторизації.

Вектор CVSS v4.0:

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:H/VA:H/SC:N/SI:H/SA:H

Це вказує на:

• Мережевий вектор атаки
• Низька складність атаки
• Присутні додаткові вимоги до атаки
• Привілеї не потрібні
• Взаємодія користувача не потрібна
• Прямого впливу на конфіденційність не виявлено
• Високий вплив на цілісність та доступність
• Високий вплив на цілісність та доступність на наступних системах

Це останнє розрізнення є важливим. Оцінювання Veeam свідчить про те, що успішна експлуатація може вплинути не лише на уразливу систему резервного копіювання, але й на системи, наступні за нею. Однак постачальник не описав, які саме операції може виконати нападник після обходу авторизації.

Ні Veeam, ні надані звіти не стверджують, що вразливість забезпечує виконання довільного віддаленого коду.

CybersecurityNews особливо зауважує, що консультація не описує послідовність атак або не стверджує, що дефект дозволяє RCE. CyberPress також стверджує, що Veeam не опублікувала кроки експлуатації або не заявила про виконання коду.

Таким чином, заяви про те, що дефект безпосередньо забезпечує доступ до оболонки, права SYSTEM, крадіжку облікових даних, або виконання довільних команд, наразі виходили б за межі доступних доказів.

CVE-2026-108142 впливає на дві гілки Veeam Backup & Replication 13:

• Версія 13.1.1.18 і попередні збірки 13.1
• Версія 13.0.2.29 і попередні збірки 13.0

Вразливість застосована до розгортань Veeam Backup & Replication на базі Windows, а також до Veeam Software Appliance.

Veeam Backup & Replication 12.x та інші старіші версії, визначені постачальником, не піддаються впливу цієї конкретної вразливості.

Організації повинні перевірити точну збірку, а не покладатися лише на основний номер версії.

Наприклад, установка, яка повідомляє про версію 13.1, може все ще бути вразливою, якщо не була оновлена до збірки 13.1.2.57 або пізніше.

Адміністратори можуть переглянути встановлену збірку Backup & Replication із інтерфейсу продукту та порівняти її з інформацією випуску Veeam.

На момент написання, жодна публічна PoC для CVE-2026-108142 не була задокументована Veeam або наданими звітами про безпеку. Незалежне публічне відстеження вразливостей також повідомляє, що відкрито доступного експлойту proof-of-concept немає.

Veeam також не повідомив про активну експлуатацію вразливості.

Цей розріз особливо важливий, оскільки інфраструктура Veeam була ціллю через інші вразливості у попередніх атаках. CybersecurityNews зазначає попередню експлуатацію CVE-2024-40711 у операціях з програмами-вимагачами, але ця історична діяльність не демонструє експлуатацію нововиявленого обходу авторизації.

Станом на 29 жовтня 2026 року новий CVE також не внесений до каталогу відомих експлуатованих вразливостей CISA, згідно з наявними даними відстеження вразливостей.

Таким чином, немає підтверджених специфічних для кампанії IOC для CVE-2026-108142, таких як зловмисні IP-адреси, домени, хеші, корисні навантаження експлойтів або відома інфраструктура нападників, пов’язана з цією вразливістю.

Команди безпеки повинні зосередитися на оцінці експозиції та поведінковому моніторингу.

Можливі пункти розслідування включають:

• Мережеві з’єднання з інфраструктурою резервного копіювання Veeam від неочікуваних систем
• Неочікувана взаємодія зі службою координатора CDP
• Несанкціоновані зміни конфігурації резервного копіювання або CDP
• Нові або змінені завдання резервного копіювання без адміністративного пояснення
• Неочікувані перезапуски або збої у роботі сервісу
• Зміни в політиках реплікації
• Модифікації захищеної інфраструктури, які не відповідають погодженій адміністративній діяльності
• Підозрілі зміни облікових записів або привілеїв на сервері резервного копіювання
• Неочікувані процеси або мережна активність, що надходять з інфраструктури Veeam
• Спроби досягти сервісів управління резервним копіюванням з мереж користувачів або систем, що виходять на зовнішні мережі

Ці поведінки не є специфічними індикаторами вразливостей. Вони є можливостями для захисного полювання, які можуть допомогти виявити підозрілу активність, пов’язану з критично важливим сервером резервного копіювання, поки технічні деталі експлуатації залишаються недоступними.

Організації повинні також переглянути сегментацію мережі навколо інфраструктури Veeam.

Сервери резервного копіювання не повинні бути широко доступними з звичайних робочих станцій, середовищ гостей або недовірених сегментів мережі. Лише системи, які вимагають зв’язку з сервісами Veeam, повинні мати дозволено можливість доступу до відповідних інтерфейсів і портів.

Це зменшує кількість систем, здатних взаємодіяти з вразливою службою під час розгортання патчів.

Оновлення безпеки за жовтень також усуває три додаткові вразливості.

CVE-2026-108140 та CVE-2026-108141 – це вразливості середнього рівня серйозності обходу відносного маршруту з рейтингом CVSS 5.9. Експлуатація вимагає аутентифікованого оператора відновлення, який також контролює вміст збереженого NAS-диску. За цих умов файли, контрольовані нападником, можуть бути записані у довільні місця на сервері резервного копіювання.

Окрема проблема, CVE-2026-105477, впливає на установки Veeam Agent для Linux, керовані Backup & Replication. Високосериозна вразливість може призвести до локальної ескалації привілеїв і виправляється в Veeam Agent для Linux 13.1.2, збірка 13.1.2.11.

Організації, що застосовують жовтневі оновлення, повинні тому оглянути все своє середовище Veeam, а не просто розглядати лише критичний обхід авторизації.

Мітигація CVE-2026-108142

Основним засобом виправлення є установка зафіксованих випусків Veeam Backup & Replication.

Для гілки 13.1 оновити до:

Veeam Backup & Replication 13.1.2 — збірка 13.1.2.57

Для гілки 13.0 оновити до:

Veeam Backup & Replication 13.0.3 — збірка 13.0.3.63

Ці збірки містять запропоноване виправлення постачальника для вразливості авторизації.

Рекомендована мітигація CVE-2026-108142 процес повинен початися з ідентифікації кожного Veeam Backup & Replication сервера і визначення його точної встановленої збірки.

Команди безпеки повинні пріоритетизувати оновлення для серверів резервного копіювання, які доступні через великі сегменти мережі, підключені до критично важливої віртуалізації або підтримують виробничі навантаження високої вартості.

Патч слід розглядати як пріоритет безпеки, оскільки експлуатація не потребує аутентифікованого облікового запису згідно з опублікованим вектором CVSS.

Veeam не опублікувала повного обхідного рішення в KB4948, яке б усунуло вразливість без установки виправленого програмного забезпечення.

Якщо негайне оновлення операційно неможливо, організації повинні застосувати заходи захисту в глибині, доки патчування не буде завершено:

• Обмежте доступ до серверів резервного копіювання Veeam, використовуючи сегментацію мережі.
• Дозволяйте з’єднання лише з системами, які законно вимагають доступу.
• Блокуйте необов’язкову комунікацію із VLAN робочих станцій і користувачів.
• Запобігайте безпосередньому інтернетовому впливу інфраструктури резервного копіювання.
• Застосовуйте обмеження на базі файєрволу там, де це операційно доречно.
• Моніторьте доступ до сервісів Veeam від неочікуваних систем.
• Огляньте адміністративні та конфігураційні зміни резервного копіювання.
• Моніторьте сервер резервного копіювання на предмет незвичайного виконання процесів або вихідних з’єднань.
• Захистіть адміністративні креденшли за допомогою сильної автентифікації та найменших привілеїв.
• Підтримуйте незмінні або автономні копії резервних копій, де це можливо.

Ці заходи зменшують поверхню атаки, але не повинні розглядатися як заміна оновлення постачальника.

Інформація від Veeam про випуск вказує, що 13.1.2.57 є кумулятивним латкою, що усуває вразливості безпеки разом з іншими повідомленими проблемами. Патч може поширюватися через механізми оновлення Veeam або встановлюватися за допомогою оновлених засобів установки.

Після оновлення адміністратори повинні перевірити, що працює очікувана виправлена збірка.

Вони також повинні підтвердити, що завдання резервного копіювання та реплікації працюють нормально та протестувати можливості відновлення. Оновлення безпеки для інфраструктури резервного копіювання не повинні вважатися завершеними, поки не буде перевірено можливість відновлення.

Оскільки специфічні для вразливості індикатори експлуатації наразі недоступні публічно, організації повинні переглянути історичну активність у системах, які залишалися вразливими до патчування.

Важливі джерела включають:

• Журнали сервісу Veeam
• Журнали подій Windows
• Конфігурацію Veeam та історію завдань
• Телеметрію EDR із серверів резервного копіювання
• Журнали файєрволу і мережевих потоків
• Записи автентифікації
• Адміністративна активність
• Журнали управління vCenter та віртуалізацією

Команди безпеки повинні дослідити незвичайні зміни завдань, репозиторіїв, конфігурацій реплікації, політик захисту, компонентів інфраструктури або адміністративних облікових записів.

Цілісність резервного копіювання також повинна бути перевірена.

Нападники часто націлюють на системи резервного копіювання під час ширших вторгнень для погіршення відновлення. Хоча публічні звіти не встановлюють експлуатацію програм-вимагачів цього CVE, організації, які досліджують підозрілу активність, повинні підтвердити, що точки відновлення, незмінні копії та автономні резервні копії не були змінені.

Якщо компрометування неможливо виключити, респондери з інцидентів повинні захистити чисті копії резервного копіювання перед проведенням відновлення.

Креденшли, доступні з інфраструктури резервного копіювання, повинні бути також переглянуті та змінені, якщо є докази несанкціонованого доступу.

Організації, що керують Veeam Agent для Linux під управлінням Backup & Replication, повинні окремо оновити уразливі агенти до версії 13.1.2, збірка 13.1.2.11, щоб усунути CVE-2026-105477.

Критичний обхід авторизації та три додаткові вразливості були повідомлені Veeam через HackerOne. Veeam випустила виправлення для всіх чотирьох проблем 27 жовтня 2026 року.

Відмова від відповідальності: Контент виявлення може бути не доступний для кожного CVE. Перевірте платформу SOC Prime для отримання актуального покриття. Якщо відповідні виявлення ще не доступні, перевірте ще раз, оскільки нова інформація про загрози та контент виявлення постійно додається.