CVE-2026-108142: 주요 Veeam Backup & Replication 권한 우회 취약점

Veeam은 Veeam Backup & Replication 13에 영향을 미치는 치명적인 인증 우회 취약점인 CVE-2026-108142를 해결하기 위해 보안 업데이트를 발표했습니다. 이 결함은 인증되지 않은 원격 공격자가 Veeam CDP Coordinator Service와 관련된 인증 제어를 우회할 수 있게 합니다.

이 취약점의 CVSS v4.0 점수는 9.1이며, Windows 기반 Veeam Backup & Replication 배포와 Veeam Software Appliance 모두에 영향을 미칩니다. Veeam은 이 문제를 보안 자문 KB4948의 일환으로 2026년 10월 27일에 공개했습니다.

백업 인프라는 복구 데이터를 포함하고 있어서 종종 생산 시스템에 특권 연결을 가지기 때문에 특히 민감한 보안 대상입니다. 따라서 중앙 백업 구성 요소에 대한 인증 약점은 벤더가 완전한 착취 체인을 공개적으로 문서화하지 않았더라도 즉각적인 주의가 필요합니다.

Veeam의 CVSS 벡터는 네트워크 기반의 착취를 식별하며, 낮은 공격 복잡성과 권한이 필요하지 않으며 사용자 상호작용이 없습니다. 그러나 벡터는 추가적인 공격 요구사항이 있어야 한다고 명시합니다. Veeam은 그 전제조건들을 공개적으로 설명하지 않았습니다.

이 취약점은 Veeam Backup & Replication 13.1.1.18과 13.1 분기에 있는 모든 이전 빌드, 그리고 버전 13.0.2.29와 모든 이전 13.0 빌드에 영향을 미칩니다. Veeam은 버전 12.x와 같은 이전 릴리스는 이 특정 결함에 영향을 받지 않는다고 명시하고 있습니다.

CVE-2026-108142 탐지를 위해 보안 팀은 취약한 Backup & Replication 설치를 식별하고, CDP Coordinator Service와 관련된 예상치 못한 활동, 비인가된 구성 변경, 의심스러운 백업 인프라 수정, 신뢰할 수 없는 시스템에서의 네트워크 연결 등을 모니터링하는 것을 우선시해야 합니다.

SOC Prime 사용자는 네트워크, 엔드포인트, 신원 및 애플리케이션 원격 측정과 행위 기반 탐지 콘텐츠를 연관시켜 취약점 착취 및 사후 타협 활동에 대한 가시성을 강화할 수 있습니다.

클릭 탐지 탐색 관련된 탐지 콘텐츠와 헌팅 논리에 접근하기 위해. CVE-2026-108142를 탐지하려면 방어자는 Veeam 서비스, 관리 활동, 시스템 변경 사항 및 백업 인프라로의 네트워크 접근 모니터링과 취약성 인벤토리를 결합해야 합니다.

영업팀에 문의

CVE-2026-108142 분석

이 취약점은 Veeam Backup & Replication에서 연속 데이터 보호 작업을 조정하는 역할을 하는 Veeam CDP Coordinator Service 구성 요소에서 발견되었습니다.

Veeam 문서에 따르면, CDP Coordinator Service는 백업 서버에서 실행되며 VMware vCenter와 통신하고 CDP 작업을 할당하며 연속 데이터 보호에 관여하는 인프라 구성 요소를 관리하고 복제 및 데이터 전송 작업을 조정합니다.

따라서 서비스 주위의 인증 제어는 특히 중요합니다. 백업 서버는 백업 인프라의 구성 및 관리 중심 역할을 하며, CDP Coordinator Service는 복제에 관여하는 인프라 구성 요소와 상호작용할 수 있습니다.

CVE-2026-108142에 대한 세부 사항은 의도적으로 공개적 발표에서 제한되어 있습니다.

Veeam은 이 취약점을 인증되지 않은 공격자가 CDP Coordinator Service의 인증을 우회할 수 있게 한다고 설명하지만, 취약한 요청, 영향을 받는 기능, 프로토콜 상호작용, 착취 시퀀스 또는 기본 구현 결함에 대해서는 공개하지 않았습니다.

이 CVE는 ‘안전하게 실패하지 않음’으로 일반적으로 설명되는 상태로, 보안 메커니즘이 오류나 예상치 못한 상태를 만나고 액세스를 거부하는 대신 덜 안전한 조건으로 떨어질 때 발생하는 CWE-636으로 분류됩니다.

그러나, CWE 분류만으로 Veeam 소프트웨어의 정확한 구현 오류를 추정해서는 안 됩니다. 벤더는 인증 우회가 어떻게 촉발되는지 정확히 알 수 있을 만큼 충분한 기술 정보를 공개하지 않았습니다.

CVSS v4.0 벡터는:

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:H/VA:H/SC:N/SI:H/SA:H

이것은 다음을 의미합니다:

• 네트워크 기반 공격 벡터
• 낮은 공격 복잡성
• 추가 공격 요구사항 존재
• 필요한 권한 없음
• 필요한 사용자 상호작용 없음
• 식별된 직접적인 기밀성 영향 없음
• 높은 무결성 및 가용성 영향
• 후속 시스템에 대한 높은 무결성 및 가용성 영향

그 최종 구분은 중요합니다. Veeam의 채점은 성공적인 착취가 취약한 백업 시스템뿐만 아니라 이후 시스템에도 영향을 미칠 수 있음을 시사하지만, 벤더는 인증 우회를 통하여 공격자가 수행할 수 있는 정확한 작en으로서 무엇인가를 설명하지 않았습니다.

Veeam이나 제공된 보고서 중 어디에서도 이 취약점이 임의의 원격 코드 실행을 제공한다고 명시하지 않았습니다.

CybersecurityNews는 자문에서 공격 시퀀스를 설명하거나 이 결함이 RCE를 가능하게 한다고 말하지 않는다고 명시합니다. CyberPress 역시 Veeam이 착취 단계를 공개하지 않았거나 코드 실행을 주장하지 않았다고 말합니다.

따라서 이 결함이 직접 쉘 접근, SYSTEM 권한, 자격 증명 탈취 또는 임의의 명령 실행을 제공한다는 주장들은 현재로서는 제공된 증거를 초과하는 것입니다.

CVE-2026-108142는 두 개의 Veeam Backup & Replication 13 분기에 영향을 미칩니다:

• 버전 13.1.1.18과 이전 13.1 빌드
• 버전 13.0.2.29와 이전 13.0 빌드

이 취약점은 Windows 기반의 Veeam Backup & Replication 설치와 Veeam Software Appliance 배포 모두에 적용됩니다.

Veeam Backup & Replication 12.x와 벤더가 식별한 기타 이전 릴리스는 이 특정 문제에 영향을 받지 않습니다.

조직은 주요 버전 번호에만 의존하지 말고 정확한 빌드를 확인해야 합니다.

예를 들어, 버전 13.1을 보고하는 설치는 여전히 빌드 13.1.2.57 이상으로 업그레이드되지 않은 한 취약할 수 있습니다.

관리자는 제품 인터페이스에서 설치된 Backup & Replication 빌드를 검토하고 Veeam의 릴리스 정보와 비교할 수 있습니다.

작성 시점에는 Veeam이나 제공된 보안 보고서에 의해 문서화된 CVE-2026-108142 PoC가 공개되지 않았습니다. 독립적인 공개 취약성 추적 또한 공개적으로 이용 가능한 증명 개념 착취를 보고하지 않습니다.

Veeam도 이 취약점의 적극적인 착취를 보고하지 않았습니다.

이 구분은 특히 중요한데, 이는 이전 공격에서 Veeam 인프라가 다른 취약점을 통해 표적이 되었기 때문입니다. CybersecurityNews는 랜섬웨어 작전에서 CVE-2024-40711의 이전 착취를 언급하지만, 그러한 역사적인 활동은 새로 공개된 인증 우회의 착취를 입증하지 않습니다.

2026년 10월 29일 현재, 새로운 CVE는 현재 이용 가능한 취약성 추적 데이터에 따르면 CISA의 알려진 착취된 취약성 카탈로그에 나열되지 않았습니다.

따라서 이 취약성과 관련하여 악성 IP 주소, 도메인, 해시, 착취 페이로드 또는 알려진 공격자 인프라 같은 확인된 캠페인별 CVE-2026-108142 IOC가 없습니다.

보안 팀은 대신 노출 평가 및 행동 모니터링에 초점을 맞춰야 합니다.

잠재적인 조사 포인트는 다음과 같습니다:

• 예상치 못한 시스템에서 Veeam 백업 인프라로의 네트워크 연결
• CDP Coordinator Service와의 예상치 못한 상호작용
• 비인가 백업이나 CDP 구성 변경
• 관리 설명이 없는 새로운 또는 수정된 백업 작업
• 예상치 못한 서비스 재시작이나 실패
• 복제 정책 변경
• 승인된 관리 활동과 일치하지 않는 보호된 인프라의 수정
• 백업 서버에서의 의심스러운 계정이나 권한 변경
• Veeam 인프라에서 시작된 예상치 못한 프로세스나 네트워크 활동
• 사용자 네트워크나 인터넷 연결 시스템에서 백업 관리 서비스에 대한 접근 시도

이러한 행동들은 취약성에 대한 구체적인 지표가 아닙니다. 이들은 기술 착취 세부 사항이 여전히 제공되지 않는 중요한 백업 서버와 관련된 의심스러운 활동을 밝혀낼 수 있는 방어적 헌팅 기회입니다.

조직은 또한 Veeam 인프라 주변의 네트워크 세분화를 검토해야 합니다.

백업 서버는 일반 워크스테이션, 게스트 환경, 또는 신뢰할 수 없는 네트워크 세그먼트에서 폭넓게 접근할 수 없어야 합니다. Veeam 서비스와 통신해야 하는 시스템만 해당 인터페이스와 포트에 접근할 수 있도록 허용되어야 합니다.

이는 패치가 배포되는 동안 상호작용할 수 있는 시스템의 수를 줄입니다.

10월 보안 업데이트는 또한 세 가지 추가 취약점을 해결합니다.

CVE-2026-108140 및 CVE-2026-108141은 중간 심각도의 상대 경로 탐색 취약점으로 CVSS 5.9로 평가됩니다. 착취에는 백업된 NAS 공유의 내용을 제어하는 인증된 복구 운영자가 필요합니다. 이러한 조건에서 공격자가 제어하는 파일이 백업 서버의 임의의 위치에 기록될 수 있습니다.

별도의 문제인 CVE-2026-105477은 Backup & Replication에 의해 관리되는 Veeam Agent for Linux 설치에 영향을 미칩니다. 고심각도 취약점은 로컬 권한 상승을 가능하게 하며, Veeam Agent for Linux 13.1.2, 빌드 13.1.2.11에서 수정되었습니다.

10월 업데이트를 적용하는 조직은 따라서 비판적인 인증 우회만 해결하는 대신 전체 Veeam 환경을 검토해야 합니다.

CVE-2026-108142 완화

기본 수정 사항은 고정된 Veeam Backup & Replication 릴리스를 설치하는 것입니다.

13.1 분기에 대해, 다음으로 업그레이드:

Veeam Backup & Replication 13.1.2 — 빌드 13.1.2.57

13.0 분기에 대해, 다음으로 업그레이드:

Veeam Backup & Replication 13.0.3 — 빌드 13.0.3.63

이 빌드는 인증 취약점을 위한 공급업체의 수정 사항을 포함하고 있습니다.

추천 CVE-2026-108142 완화 프로세스는 모든 Veeam Backup & Replication 서버를 식별하고 설치된 정확한 빌드를 결정하는 것으로 시작해야 합니다.

보안 팀은 대규모 네트워크 세그먼트에 걸쳐 접근할 수 있는 백업 서버, 중요한 가상화 인프라와 연결된 서버 또는 고가치 생산 부하를 지원하는 서버 업그레이드를 우선시해야 합니다.

은 CVSS 벡터에 따라 인증된 계정이 필요하지 않기 때문에 패치는 보안 우선순위로 취급되어야 합니다.

Veeam은 고정 소프트웨어를 설치하지 않고 취약점을 없애는 완전한 해결 방법을 KB4948에 게시하지 않았습니다.

즉시 업그레이드가 운영적으로 불가능한 경우, 패치가 완료될 때까지 조직은 심층 방어 조치를 적용해야 합니다:

• 네트워크 세분화를 통해 Veeam 백업 서버 접근을 제한하십시오.
• 합법적으로 필요한 액세스를 요구하는 시스템에서만 연결을 허용하십시오.
• 작업 및 사용자 VLAN의 불필요한 통신 차단
• 백업 인프라의 직접 인터넷 노출 방지
• 운영적으로 적절하다면 호스트 기반 방화벽 제한을 적용하십시오.
• 예상치 못한 시스템에서 Veeam 서비스에 대한 접근을 모니터링하십시오.
• 관리 및 백업 구성 변경 사항 검토
• 백업 서버에서의 비정상적인 프로세스 실행이나 출력 연결 모니터링
• 강력한 인증과 최소 권한 사용을 통한 관리 자격 증명 보호
• 가능한 경우 불변 또는 오프라인 백업 복사본 유지

이러한 제어는 공격 표면을 줄일 수 있지만 공급업체 업데이트의 대체품으로 간주해서는 안 됩니다.

Veeam의 릴리스 정보에는 13.1.2.57이 보안 취약점을 해결하고 보고된 다른 문제를 해결하는 누적 패치라고 명시되어 있습니다. 패치는 Veeam의 업데이트 메커니즘을 통해 배포하거나 업데이트된 설치 미디어를 사용하여 설치할 수 있습니다.

업그레이드 후 관리자는 예상된 고정 빌드가 실행 중인지 확인해야 합니다.

또한 백업 및 복제 작업이 정상적으로 작동하는지 확인하고 복원 기능을 테스트해야 합니다. 백업 인프라에 대한 보안 업데이트는 복원 가능성이 검증될 때까지 완료된 것으로 간주해서는 안 됩니다.

현재로서는 취약성별 착취 지표가 공개되지 않았기 때문에, 조직은 패치가 완료되기 전에 취약했던 시스템에서 역사적 활동을 검토해야 합니다.

중요한 소스는 다음을 포함합니다:

• Veeam 서비스 로그
• Windows 이벤트 로그
• Veeam 구성 및 작업 기록
• 백업 서버에서의 EDR 원격 측정
• 방화벽 및 네트워크 흐름 로그
• 인증 기록
• 관리 활동
• vCenter 및 가상화 관리 로그

보안 팀은 작업, 리포지토리, 복제 구성, 보호 정책, 인프라 구성 요소 또는 관리 계정에 대한 예상치 못한 변경 사항을 조사해야 합니다.

백업 무결성도 확인해야 합니다.

공격자는 복구를 방해하기 위해 광범위한 침투 중에 백업 시스템을 자주 표적화합니다. 공개 보고는 이 CVE에 대한 랜섬웨어 착취를 설정하지 않지만, 의심스러운 활동을 조사하는 조직은 복원 포인트, 불변 복사본 및 오프라인 백업이 변경되지 않았는지 확인해야 합니다.

침해가 배제될 수 없는 경우, 사건 대응자는 정리 작업을 수행하기 전에 깨끗한 백업 복사본을 보호해야 합니다.

백업 인프라에서 접근 가능한 자격 증명도 검토하고 비인가 접근의 증거가 있으면 회전해야 합니다.

Backup & Replication에 의해 관리되는 Veeam Agent for Linux를 실행하는 조직은 CVE-2026-105477을 대응하기 위해 취약한 에이전트를 버전 13.1.2, 빌드 13.1.2.11로 업그레이드해야 합니다.

핵심 인증 우회와 세 가지 추가 취약점은 HackerOne을 통해 Veeam에 보고되었습니다. Veeam은 2026년 10월 27일에 네 가지 문제에 대한 수정 본을 발표했습니다.

면책 조항: 탐지 내용은 모든 CVE에 대해 사용 가능하지 않을 수 있습니다. 현재 커버리지를 위해 SOC Prime 플랫폼을 확인하십시오. 관련 탐지가 아직 제공되지 않은 경우, 새로운 위협 정보 및 탐지 콘텐츠가 지속적으로 추가됨에 따라 다시 확인하십시오.