CVE-2026-108142: Bypass de Autorização Crítico no Veeam Backup & Replication

A Veeam lançou atualizações de segurança para resolver a CVE-2026-108142, uma vulnerabilidade crítica de bypass de autorização que afeta o Veeam Backup & Replication 13. A falha permite que um atacante remoto não autenticado contorne os controles de autorização associados ao Serviço Coordenador de CDP da Veeam.

A vulnerabilidade possui uma pontuação CVSS v4.0 de 9.1 e afeta tanto as implantações do Veeam Backup & Replication baseadas em Windows quanto o Aparelho de Software Veeam. A Veeam divulgou o problema em 27 de outubro de 2026 como parte do aviso de segurança KB4948.

A infraestrutura de backup é um alvo de segurança especialmente sensível porque contém dados de recuperação e muitas vezes tem conectividade privilegiada com sistemas de produção. Uma fraqueza de autorização que afeta um componente central de backup, portanto, merece atenção imediata, mesmo que o fornecedor não tenha documentado publicamente toda a cadeia de exploração.

O vetor CVSS da Veeam identifica exploração baseada em rede com baixa complexidade de ataque, sem requisitos de privilégios e sem interação do usuário. No entanto, o vetor também especifica que requisitos adicionais de ataque devem estar presentes. A Veeam não explicou publicamente esses pré-requisitos.

A vulnerabilidade afeta o Veeam Backup & Replication 13.1.1.18 e todas as versões anteriores no ramo 13.1, bem como a versão 13.0.2.29 e todos os builds 13.0 anteriores. A Veeam afirma explicitamente que versões mais antigas, como a 12.x, não são afetadas por essa falha específica.

Para a detecção da CVE-2026-108142, as equipes de segurança devem priorizar a identificação de instalações vulneráveis do Backup & Replication e monitorar o servidor de backup quanto a atividades inesperadas envolvendo o Serviço Coordenador de CDP, alterações de configuração não autorizadas, modificações suspeitas na infraestrutura de backup e conexões de rede de sistemas não confiáveis.

Usuários do SOC Prime podem fortalecer a visibilidade em exploração de vulnerabilidades e atividade pós-comprometimento correlacionando telemetria de rede, endpoint, identidade e aplicação com conteúdo de detecção baseado em comportamento.

Clique Explorar Detecções para acessar conteúdo de detecção relevante e lógica de busca. Para detectar a CVE-2026-108142, os defensores devem combinar o inventário de vulnerabilidades com o monitoramento dos serviços da Veeam, atividade administrativa, mudanças no sistema e acesso à rede à infraestrutura de backup.

Contate Vendas

Análise da CVE-2026-108142

A vulnerabilidade está localizada no Serviço Coordenador de CDP da Veeam, um componente do Veeam Backup & Replication responsável por coordenar as operações de Proteção de Dados Contínua.

De acordo com a documentação da Veeam, o Serviço Coordenador de CDP é executado no servidor de backup e se comunica com o VMware vCenter, atribui tarefas de CDP, gerencia componentes de infraestrutura envolvidos na Proteção de Dados Contínua e coordena operações de replicação e transferência de dados.

Isso torna os controles de autorização ao redor do serviço particularmente importantes. O servidor de backup atua como o núcleo de configuração e gerenciamento da infraestrutura de backup, enquanto o Serviço Coordenador de CDP pode interagir com componentes de infraestrutura envolvidos na replicação.

Os detalhes para a CVE-2026-108142 permanecem intencionalmente limitados na divulgação pública.

A Veeam descreve a vulnerabilidade como permitindo que um atacante não autenticado contorne a autorização no Serviço Coordenador de CDP, mas não divulga o pedido vulnerável, função afetada, interação de protocolo, sequência de exploração ou falha de implementação subjacente.

A CVE é categorizada como CWE-636, Não Falhando com Segurança, comumente descrita como uma condição de “falha aberta”. Esta classe de fraqueza ocorre quando um mecanismo de segurança encontra um erro ou estado inesperado e cai em uma condição menos segura, em vez de negar acesso.

No entanto, a classificação CWE sozinha não deve ser usada para inferir o erro de implementação preciso no software da Veeam. O fornecedor não publicou informações técnicas suficientes para determinar exatamente como o bypass de autorização é acionado.

O vetor CVSS v4.0 é:

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:H/VA:H/SC:N/SI:H/SA:H

Isto indica:

• Vetor de ataque baseado em rede
• Baixa complexidade de ataque
• Requisitos adicionais de ataque presentes
• Sem necessidade de privilégios
• Sem necessidade de interação do usuário
• Nenhum impacto direto de confidencialidade identificado
• Alto impacto em integridade e disponibilidade
• Alto impacto em integridade e disponibilidade em sistemas subsequentes

Essa distinção final é importante. A pontuação da Veeam sugere que a exploração bem-sucedida pode afetar não apenas o sistema de backup vulnerável, mas também sistemas a jusante. No entanto, o fornecedor não descreveu exatamente quais operações um atacante pode realizar após contornar a autorização.

Nem a Veeam nem os relatórios fornecidos afirmam que a vulnerabilidade proporciona execução remota de código arbitrária.

O CybersecurityNews especificamente observa que o aviso não descreve uma sequência de ataque ou diz que a falha permite RCE. Da mesma forma, o CyberPress afirma que a Veeam não publicou etapas de exploração ou alegou execução de código.

Portanto, afirmativas de que a falha diretamente fornece acesso shell, privilégios de SISTEMA, roubo de credenciais ou execução de comandos arbitrária atualmente iriam além das evidências disponíveis.

A CVE-2026-108142 afeta dois ramos do Veeam Backup & Replication 13:

• Versão 13.1.1.18 e builds 13.1 anteriores
• Versão 13.0.2.29 e builds 13.0 anteriores

A vulnerabilidade se aplica a instalações do Veeam Backup & Replication baseadas em Windows e implantações do Aparelho de Software Veeam.

O Veeam Backup & Replication 12.x e outras versões anteriores identificadas pelo fornecedor não são afetadas por este problema específico.

As organizações devem verificar a build exata em vez de depender apenas do número de versão principal.

Por exemplo, uma instalação que relata a versão 13.1 ainda pode ser vulnerável, a menos que tenha sido atualizada para a build 13.1.2.57 ou posterior.

Os administradores podem revisar sua build instalada do Backup & Replication na interface do produto e compará-la com as informações de lançamento da Veeam.

No momento da redação, nenhum PoC público da CVE-2026-108142 foi documentado pela Veeam ou pelos relatórios de segurança fornecidos. O rastreamento público de vulnerabilidades independente também relata a ausência de um exploit proof-of-concept disponível abertamente.

A Veeam também não relatou exploração ativa da vulnerabilidade.

Essa distinção é particularmente relevante porque a infraestrutura da Veeam foi alvo através de outras vulnerabilidades em ataques anteriores. O CybersecurityNews observa a exploração anterior da CVE-2024-40711 em operações de ransomware, mas essa atividade histórica não demonstra a exploração do recém-documentado bypass de autorização.

Em 29 de outubro de 2026, a nova CVE também não está listada no catálogo de Vulnerabilidades Conhecidas Exploradas da CISA, de acordo com dados de rastreamento de vulnerabilidades atualmente disponíveis.

Portanto, não há IOC de campanhas específicas confirmadas para a CVE-2026-108142, como endereços IP maliciosos, domínios, hashes, cargas de exploit ou infraestrutura de atacantes conhecida associada a esta vulnerabilidade.

As equipes de segurança devem, em vez disso, focar na avaliação de exposição e monitoramento comportamental.

Pontos potenciais de investigação incluem:

• Conexões de rede à infraestrutura de backup da Veeam de sistemas inesperados
• Interação inesperada com o Serviço Coordenador de CDP
• Alterações não autorizadas à configuração de backup ou CDP
• Novos ou modificados trabalhos de backup sem uma explicação administrativa
• Reinícios de serviço inesperados ou falhas
• Alterações nas políticas de replicação
• Modificações à infraestrutura protegida que não correspondem com atividade administrativa aprovada
• Mudanças suspeitas de conta ou privilégios no servidor de backup
• Processos inesperados ou atividade de rede originados da infraestrutura da Veeam
• Tentativas de alcançar serviços de gerenciamento de backup de redes de usuários ou sistemas voltados para a internet

Esses comportamentos não são indicadores específicos da vulnerabilidade. Eles são oportunidades de caça defensiva que podem ajudar a descobrir atividades suspeitas envolvendo um servidor de backup crítico enquanto os detalhes técnicos de exploração permanecem indisponíveis.

As organizações também devem revisar a segmentação de rede em torno da infraestrutura da Veeam.

Servidores de backup não devem ser amplamente acessíveis de estações de trabalho comuns, ambientes de convidados ou segmentos de rede não confiáveis. Somente sistemas que requerem comunicação com serviços da Veeam devem ser permitidos para acessar as interfaces e portas relevantes.

Isso reduz o número de sistemas capazes de interagir com um serviço vulnerável enquanto os patches estão sendo implantados.

A atualização de segurança de outubro também aborda três vulnerabilidades adicionais.

CVE-2026-108140 e CVE-2026-108141 são vulnerabilidades de travessia de caminho relativo de gravidade média classificadas como CVSS 5.9. A exploração requer um Operador de Restauração autenticado que também controla o conteúdo de um compartilhamento NAS em backup. Nessas condições, arquivos controlados por atacantes podem ser gravados em locais arbitrários no servidor de backup.

Um problema separado, CVE-2026-105477, afeta instalações do Veeam Agent para Linux gerenciadas pelo Backup & Replication. A vulnerabilidade de alta gravidade pode permitir escalonamento local de privilégios e está corrigida no Veeam Agent para Linux 13.1.2, build 13.1.2.11.

Organizações que aplicam as atualizações de outubro devem, portanto, revisar todo o ambiente Veeam em vez de abordar apenas o bypass de autorização crítica.

Mitigação da CVE-2026-108142

A principal remediação é instalar as versões corrigidas do Veeam Backup & Replication.

Para o ramo 13.1, atualize para:

Veeam Backup & Replication 13.1.2 — build 13.1.2.57

Para o ramo 13.0, atualize para:

Veeam Backup & Replication 13.0.3 — build 13.0.3.63

Essas builds contêm a correção fornecida pelo fornecedor para a vulnerabilidade de autorização.

O recomendado mitigação da CVE-2026-108142 O processo deve começar com a identificação de cada servidor Veeam Backup & Replication e determinação de sua build instalada exata.

As equipes de segurança devem priorizar atualizações para servidores de backup que são acessíveis em grandes segmentos de rede, conectados a infraestrutura de virtualização crítica ou suportando cargas de trabalho de produção de alto valor.

O patch deve ser tratado como uma prioridade de segurança porque a exploração não requer uma conta autenticada, de acordo com o vetor CVSS publicado.

A Veeam não publicou um desvio completo no KB4948 que elimine a vulnerabilidade sem instalar o software corrigido.

Se uma atualização imediata for operacionalmente impossível, as organizações devem aplicar medidas de defesa em profundidade até que o patch possa ser concluído:

• Restrinja o acesso aos servidores de backup da Veeam usando segmentação de rede.
• Permita conexões apenas de sistemas que requerem legitimamente acesso.
• Bloqueie a comunicação desnecessária de VLANs de estações de trabalho e usuários.
• Impeça a exposição direta à internet da infraestrutura de backup.
• Aplique restrições de firewall baseadas em host onde operacionalmente apropriado.
• Monitore o acesso aos serviços da Veeam de sistemas inesperados.
• Revise as alterações administrativas e de configuração de backup.
• Monitore o servidor de backup para execução de processos incomuns ou conexões de saída.
• Proteja credenciais administrativas usando autenticação forte e menor privilégio.
• Mantenha cópias de backup imutáveis ou offline, quando possível.

Esses controles reduzem a superfície de ataque, mas não devem ser considerados substitutos para a atualização do fornecedor.

As informações de lançamento da Veeam afirmam que 13.1.2.57 é um patch cumulativo que aborda vulnerabilidades de segurança junto com outros problemas relatados. O patch pode ser distribuído através dos mecanismos de atualização da Veeam ou instalado usando mídia de instalação atualizada.

Após a atualização, os administradores devem verificar se a build corrigida esperada está em execução.

Eles também devem confirmar que os trabalhos de backup e replicação operam normalmente e testar capacidades de restauração. As atualizações de segurança para a infraestrutura de backup não devem ser consideradas completas até que a recuperabilidade tenha sido validada.

Como nenhum indicador de exploit específico para a vulnerabilidade está atualmente público, as organizações devem revisar a atividade histórica em sistemas que permaneceram vulneráveis antes do patch.

Fontes importantes incluem:

• Logs de serviço da Veeam
• Logs de Evento do Windows
• Configuração da Veeam e histórico de trabalhos
• Telemetria EDR de servidores de backup
• Logs de firewall e fluxos de rede
• Registros de autenticação
• Atividade administrativa
• Logs de gerenciamento de vCenter e virtualização

As equipes de segurança devem investigar alterações inesperadas em trabalhos, repositórios, configuração de replicação, políticas de proteção, componentes de infraestrutura ou contas administrativas.

A integridade do backup também deve ser verificada.

Atacantes frequentemente miram sistemas de backup durante intrusões mais amplas para prejudicar a recuperação. Embora relatórios públicos não estabeleçam exploração de ransomware desta CVE, organizações investigando atividades suspeitas devem confirmar se pontos de restauração, cópias imutáveis e backups offline não foram alterados.

Onde o comprometimento não pode ser excluído, os respondedores de incidentes devem proteger cópias de backup limpas antes de conduzir a remediação.

Credenciais acessíveis da infraestrutura de backup também devem ser revisadas e rotacionadas se evidências indicarem acesso não autorizado.

Organizações executando o Veeam Agent para Linux gerenciado pelo Backup & Replication devem, separadamente, atualizar agentes vulneráveis para a versão 13.1.2, build 13.1.2.11, para remediar a CVE-2026-105477.

O bypass de autorização crítica e as três vulnerabilidades adicionais foram relatadas à Veeam através do HackerOne. A Veeam lançou correções para todos os quatro problemas em 27 de outubro de 2026.

Aviso: Conteúdo de detecção pode não estar disponível para todas as CVEs. Verifique a Plataforma SOC Prime para a cobertura atual. Se as detecções relevantes ainda não estiverem disponíveis, verifique novamente, pois novas informações sobre ameaças e conteúdo de detecção são continuamente adicionados.