CVE-2026-108142: Krytyczne obejście autoryzacji w Veeam Backup & Replication

Veeam opublikował aktualizacje zabezpieczeń, aby zaadresować CVE-2026-108142, krytyczną lukę pozwalającą na obejście autoryzacji, która dotyczy Veeam Backup & Replication 13. Wada ta umożliwia nieautoryzowanemu atakującemu zdalnemu obejście kontroli autoryzacyjnych związanych z Veeam CDP Coordinator Service.

Luka ma wskaźnik CVSS v4.0 na poziomie 9.1 i dotyczy zarówno wdrożeń Veeam Backup & Replication na systemie Windows, jak i Veeam Software Appliance. Veeam ujawnił problem 27 października 2026 w ramach porad bezpieczeństwa KB4948.

Infrastruktura kopii zapasowych jest szczególnie wrażliwym celem, ponieważ zawiera dane przywracania i często ma uprzywilejowane połączenie z systemami produkcyjnymi. Słabość autoryzacji wpływająca na centralny komponent kopii zapasowej zasługuje więc na natychmiastową uwagę, nawet jeśli dostawca nie udokumentował publicznie pełnego łańcucha eksploatacji.

Wektor CVSS Veeama identyfikuje eksploatację opartą na sieci o niskiej złożoności ataku, nie wymagającą uprawnień ani interakcji z użytkownikiem. Jednak wektor wskazuje również, że muszą być obecne dodatkowe wymagania atakowe. Veeam nie wyjaśnił publicznie tych warunków wstępnych.

Luka dotyczy Veeam Backup & Replication 13.1.1.18 i wszystkich wcześniejszych wersji w gałęzi 13.1, jak również wersji 13.0.2.29 i wszystkich wcześniejszych wersji 13.0. Veeam wyraźnie zaznacza, że starsze wersje, takie jak wersja 12.x, nie są dotknięte tą konkretną luką.

W przypadku wykrycia CVE-2026-108142 zespoły bezpieczeństwa powinny priorytetowo identyfikować wrażliwe instalacje Backup & Replication oraz monitorować serwer kopii zapasowych pod kątem nieoczekiwanej aktywności obejmującej CDP Coordinator Service, nieautoryzowanych zmian konfiguracji, podejrzanych modyfikacji infrastruktury kopii zapasowych i połączeń sieciowych z nieufanych systemów.

Użytkownicy SOC Prime mogą wzmocnić widoczność eksploatacji luk i działań po-kompromitacyjnych poprzez korelację telemetrii sieciowej, punktów końcowych, tożsamości i aplikacji z treściami detekcji opartymi na zachowaniu.

Kliknij Przeglądaj Detekcje aby uzyskać dostęp do odpowiednich treści detekcyjnych i logiki myśliwskiej. Aby wykryć CVE-2026-108142, obrońcy powinni połączyć zasoby z monitorowaniem usług Veeam, aktywności administracyjnej, zmian systemowych i dostępu do sieci na infrastrukturę kopii zapasowej.

Skontaktuj się z działem sprzedaży

analiza CVE-2026-108142

Luka znajduje się w Veeam CDP Coordinator Service, komponentowi Veeam Backup & Replication odpowiedzialnemu za koordynację operacji ochrony danych redundantnych (CDP).

Zgodnie z dokumentacją Veeama, CDP Coordinator Service działa na serwerze kopii zapasowych i komunikuje się z VMware vCenter, przypisuje zadania CDP, zarządza komponentami infrastruktury zaangażowanymi w ochronę danych na bieżąco i koordynuje operacje replikacji i transferu danych.

To sprawia, że kontrole autoryzacyjne wokół usługi są szczególnie ważne. Serwer kopii zapasowych działa jako rdzeń konfiguracyjny i zarządzający infrastrukturą kopii zapasowych, podczas gdy CDP Coordinator Service może wchodzić w interakcję z komponentami infrastruktury zaangażowanymi w replikację.

Szczegóły dotyczące CVE-2026-108142 pozostają celowo ograniczone w publicznym ujawnieniu.

Veeam opisuje lukę jako pozwalającą nieautoryzowanemu atakującemu obejść autoryzację na CDP Coordinator Service, ale nie ujawnia żadnego wrażliwego żądania, zaatakowanej funkcji, interakcji protokołów, sekwencji eksploatacji ani wady implementacyjnej.

CVE jest kategoryzowane jako CWE-636, Poleganie na niesprawdzających się ochronach, często opisywane jako stan 'fail-open’. Klasa słabości występuje, gdy mechanizm bezpieczeństwa napotyka błąd lub nieoczekiwany stan i wpada w mniej bezpieczny stan, zamiast odmawiać dostępu.

Jednak sama klasyfikacja CWE nie powinna być używana do wywnioskowania dokładnego błędu implementacji w oprogramowaniu Veeama. Dostawca nie opublikował wystarczającej ilości informacji technicznych, aby dokładnie określić, w jaki sposób możliwe jest obejście autoryzacji.

Wektor CVSS v4.0 jest:

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:H/VA:H/SC:N/SI:H/SA:H

To wskazuje:

• Wektor ataku oparty na sieci
• Niska złożoność ataku
• Obecne dodatkowe wymagania atakowe
• Brak wymaganych uprawnień
• Brak wymogu interakcji z użytkownikiem
• Brak bezpośredniego wpływu na poufność
• Wysoki wpływ na integralność i dostępność
• Wysoki wpływ na integralność i dostępność na systemy pośredniczące

To ostatnie rozróżnienie jest ważne. Scoring Veeama sugeruje, że udana eksploatacja może wpłynąć nie tylko na podatny system kopii zapasowej, ale także na systemy pośredniczące. Jednak dostawca nie opisał dokładnie, jakie operacje atakujący może wykonać po obejściu autoryzacji.

Ani Veeam, ani dostarczone raporty nie stwierdzają, że luka zapewnia możliwość zdalnego wykonania dowolnego kodu.

CybersecurityNews zauważa szczególnie, że poradnik nie opisuje sekwencji ataku ani nie stwierdza, że wada umożliwia RCE. CyberPress również stwierdza, że Veeam nie opublikował kroków eksploatacji ani nie twierdził wykonania kodu.

Dlatego twierdzenia, że wada bezpośrednio zapewnia dostęp do powłoki, uprawnienia SYSTEM, kradzież poświadczeń lub arbitralne wykonywanie komend, obecnie poszłyby poza dostępne dowody.

CVE-2026-108142 dotyczy dwóch gałęzi Veeam Backup & Replication 13:

• Wersja 13.1.1.18 i wcześniejsze wersje 13.1
• Wersja 13.0.2.29 i wcześniejsze wersje 13.0

Luka dotyczy zarówno wdrożeń Veeam Backup & Replication na systemie Windows, jak i wdrożeń Veeam Software Appliance.

Veeam Backup & Replication 12.x i inne starsze wersje zidentyfikowane przez dostawcę nie są dotknięte tym problemem.

Organizacje powinny weryfikować dokładną wersję builda zamiast polegać wyłącznie na głównej wersji numeracyjnej.

Na przykład, instalacja raportująca wersję 13.1 może nadal być podatna, jeżeli nie została aktualizowana do builda 13.1.2.57 lub nowszego.

Administratorzy mogą przejrzeć zainstalowany build Backup & Replication ze środowiska produktu i porównać go z informacjami o wydaniu Veeama.

W momencie pisania, żaden publiczny PoC CVE-2026-108142 nie został udokumentowany przez Veeama ani dostarczone raporty bezpieczeństwa. Niezależne publiczne śledzenie luk również informuje o braku otwarcie dostępnego exploitu proof-of-concept.

Veeam również nie zgłosił aktywnej eksploatacji luki.

To rozróżnienie jest szczególnie istotne, ponieważ infrastruktura Veeama była wcześniej celem ataków z wykorzystaniem innych luk. CybersecurityNews zauważa wcześniejszą eksploatację CVE-2024-40711 w operacjach ransomware, ale ta historyczna aktywność nie demonstruje eksploatacji nowo ujawnionego obejścia autoryzacji.

Od 29 października 2026, nowe CVE również nie jest umieszczone w katalogu CISA Znanych Eksploatowanych Zagrożeń według dostępnych obecnie danych o śledzeniu luk.

Nie ma więc potwierdzonych kampanii szczególnie związanych z CVE-2026-108142 IOCs, takich jak złośliwe adresy IP, domeny, hashe, payloady exploitu ani znane infrastruktury atakujących związane z tą luką.

Zespoły ds. bezpieczeństwa powinny zamiast tego skupić się na ocenie narażenia i monitorowaniu zachowań.

Potencjalne punkty badawcze obejmują:

• Połączenia sieciowe z infrastrukturą kopii zapasowych Veeam z nieoczekiwanych systemów
• Nieoczekiwane interakcje z CDP Coordinator Service
• Nieautoryzowane zmiany konfiguracji kopii zapasowych lub CDP
• Nowe lub zmodyfikowane zadania kopii zapasowych bez administracyjnego wyjaśnienia
• Nieoczekiwane ponowne uruchomienia usługi lub awarie
• Zmiany w politykach replikacji
• Modyfikacje chronionej infrastruktury, które nie odpowiadają zatwierdzonej działalności administracyjnej
• Podejrzane zmiany konta lub uprawnień na serwerze kopii zapasowych
• Nieoczekiwane procesy lub aktywność sieciowa pochodząca z infrastruktury Veeama
• Próby dotarcia do usług zarządzania kopiami zapasowymi z sieci użytkowników lub systemów wystawionych na działanie internetu

Te zachowania nie są wskaźnikami specyficznymi dla podatności. Są to okazje do obronnego polowania, które mogą pomóc w odkryciu podejrzanej aktywności związanej z krytycznym serwerem kopii zapasowych, podczas gdy szczegóły techniczne eksploatacji pozostają niedostępne.

Organizacje powinny również zrewidować segmentację sieci wokół infrastruktury Veeama.

Serwery kopii zapasowych nie powinny być szeroko dostępne z zwykłych stacji roboczych, środowisk gości czy niezaufanych segmentów sieciowych. Tylko systemy, które wymagają komunikacji z usługami Veeama, powinny mieć pozwolenie dostępu do odpowiednich interfejsów i portów.

To zmniejsza liczbę systemów mogących wchodzić w interakcję z podatnymi usługami, podczas gdy łatki są wdrażane.

Październikowa aktualizacja zabezpieczeń również adresuje trzy dodatkowe luki.

CVE-2026-108140 i CVE-2026-108141 są podatnościami średniego ryzyka dotyczące przechodzenia ścieżki względnej z oceną CVSS 5.9. Eksploatacja wymaga uwierzytelnionego Operatoor Przywracania, który również kontroluje zawartość zapisywanego udziału NAS. W takich warunkach, pliki kontrolowane przez atakującego mogą być zapisywane w dowolnych lokalizacjach na serwerze kopii zapasowych.

Oddzielny problem, CVE-2026-105477, dotyczy instalacji Veeam Agent dla systemu Linux zarządzanych przez Backup & Replication. Wysokiego ryzyka podatność może umożliwić lokalne podniesienie uprawnień i została naprawiona w Veeam Agent dla systemu Linux 13.1.2, build 13.1.2.11.

Organizacje stosujące październikowe aktualizacje powinny zrewidować swoje całe środowisko Veeama, zamiast adresować tylko krytyczne obejście autoryzacji.

Łagodzenie CVE-2026-108142

Głównym środkiem zaradczym jest zainstalowanie naprawionych wersji Veeam Backup & Replication.

Dla gałęzi 13.1, zaktualizuj do:

Veeam Backup & Replication 13.1.2 — build 13.1.2.57

Dla gałęzi 13.0, zaktualizuj do:

Veeam Backup & Replication 13.0.3 — build 13.0.3.63

Te wersje zawierają naprawkę dostarczoną przez dostawcę dla luki autoryzacyjnej.

Zalecany proces łagodzenia CVE-2026-108142 powinien zacząć się od zidentyfikowania każdego serwera Veeam Backup & Replication i określenia jego dokładnej wersji builda.

Zespoły ds. bezpieczeństwa powinny priorytetowo traktować aktualizacje serwerów kopii zapasowych, które są dostępne w dużych segmentach sieci, podłączone do krytycznej infrastruktury wirtualizacyjnej lub wspierające ważne robocze zadania produkcyjne.

Łatka powinna być traktowana jako priorytet bezpieczeństwa, ponieważ eksploatacja nie wymaga uwierzytelnionego konta, jak podano w opublikowanym wektorze CVSS.

Veeam nie opublikował pełnego rozwiązania zastępczego w KB4948, które eliminowałoby lukę bez instalowania naprawionego oprogramowania.

Jeżeli natychmiastowa aktualizacja jest niemożliwa operacyjnie, organizacje powinny stosować środki obrony w głąb, dopóki łatanie nie zostanie zakończone:

• Ogranicz dostęp do serwerów kopii zapasowych Veeama poprzez segmentację sieci.
• Zezwalaj na połączenia tylko z systemów, które legalnie wymagają dostępu.
• Blokuj niepotrzebną komunikację z sieci roboczych i VLAN użytkowników.
• Unikaj bezpośredniego wystawienia infrastruktury kopii zapasowych na internet.
• Stosuj ograniczenia zapór sieciowych opartych na hostach, gdzie to operacyjnie odpowiednie.
• Monitoruj dostęp do usług Veeama z nieoczekiwanych systemów.
• Przejrzyj zmiany w konfiguracji administracyjnej i kopii zapasowych.
• Monitoruj serwer kopii zapasowej pod kątem nietypowego wykonywania procesów lub połączeń wychodzących.
• Chroń poświadczenia administracyjne za pomocą silnego uwierzytelniania i najniższych uprawnień.
• Utrzymuj niezmienne lub offline’owe kopie zapasowe, gdzie to możliwe.

Te kontrolki zmniejszają powierzchnię ataku, ale nie powinny być traktowane jako zamienniki dla aktualizacji dostarczonej przez dostawcę.

Informacje o wydaniu Veeama stwierdzają, że 13.1.2.57 jest zbiorczą łatką usuwającą luki w zabezpieczeniach, jak również inne zgłoszone problemy. Łatka może być dystrybuowana przez mechanizmy aktualizacji Veeama lub instalowana przy użyciu zaktualizowanych mediów instalacyjnych.

Po aktualizacji administratorzy powinni zweryfikować, że uruchamiana jest oczekiwana naprawiona wersja builda.

Powinni również potwierdzić, że zadania kopii zapasowych i replikacji działają normalnie oraz testować możliwości przywracania. Aktualizacje zabezpieczeń infrastruktury kopii zapasowych nie powinny być traktowane jako zakończone, dopóki nie zostanie potwierdzona zdolność do przywracania.

Ponieważ obecnie żadne wskaźniki eksploatacji specyficzne dla luki nie są publicznie dostępne, organizacje powinny zrewidować wcześniejsze działania na systemach, które pozostały podatne przed łatanie.

Ważne źródła to:

• Logi usług Veeama
• Logi zdarzeń systemu Windows
• Veeam konfiguracja i historia zadań
• Telemetria EDR z serwerów kopii zapasowych
• Zapory sieciowe i logi przepływu sieciowego
• Rekordy uwierzytelniania
• Działania administracyjne
• Logi zarządzania vCenter i wirtualizacją

Zespoły ds. bezpieczeństwa powinny badać nieoczekiwane zmiany zadań, repozytoriów, konfiguracji replikacji, polityk ochrony, komponentów infrastruktury lub kont administracyjnych.

Integralność kopii zapasowych powinna również zostać zweryfikowana.

Atakujący często atakują systemy kopii zapasowych podczas szerszych naruszeń, aby uniemożliwić odzyskiwanie. Mimo że publiczne raporty nie potwierdzają eksploatacji tego CVE przez ransomware, organizacje badające podejrzaną aktywność powinny potwierdzić, że punkty przywracania, niezmienne kopie i kopie offline nie zostały zmienione.

Tam, gdzie nie można wykluczyć kompromitacji, respondenci incydentów powinni chronić czyste kopie zapasowe przed prowadzeniem działań naprawczych.

Poświadczenia dostępne z infrastruktury kopii zapasowych powinny również zostać sprawdzone i zmienione, jeżeli dowody wskazują na nieautoryzowany dostęp.

Organizacje korzystające z Veeam Agent dla systemu Linux zarządzanego przez Backup & Replication powinny oddzielnie zaktualizować podatne agenty do wersji 13.1.2, build 13.1.2.11, aby zremediować CVE-2026-105477.

Krytyczna luka autoryzacyjna oraz dodatkowe trzy luki zostały zgłoszone Veeam przez HackerOne. Veeam wydał poprawki dla wszystkich czterech problemów 27 października 2026.

Zrzeczenie: Zawartość detekcyjna może nie być dostępna dla każdego CVE. Sprawdź Platformę SOC Prime dla bieżącego zasięgu. Jeśli odpowiednie detekcje jeszcze nie są dostępne, sprawdź ponownie, gdyż nowa inteligencja zagrożeń i treści detekcyjne są ciągle dodawane.