Veeam: Mehrere Sicherheitslücken gefährden Backup-Server
Veeam hat Sicherheitsupdates für mehrere Komponenten seiner Backup-Umgebung bereitgestellt. Betroffen sind Veeam Backup & Replication für Windows, Veeam Agent for Linux und Veeam ONE. Die Auswirkungen reichen von möglichen Eingriffen in Backup-Abläufe bis zur Deaktivierung der Multi-Faktor-Authentifizierung. Betreiber sollten deshalb zunächst prüfen, welche der genannten Komponenten in ihrer Umgebung eingesetzt werden, und anschließend die jeweils passende korrigierte Version einspielen.
Am schwerwiegendsten ist CVE-2026-108142 in der Windows-Version von Veeam Backup & Replication. Nach der Beschreibung können Angreifer ohne Anmeldung auf den Continuous-Data-Protection-Dienst zugreifen. Dieser Dienst läuft direkt auf dem Backup-Server und übernimmt Aufgaben rund um Replikation und Datentransfer. Die Sicherheitsrelevanz ist für Unternehmen besonders hoch, weil Backup-Systeme im Wiederherstellungsfall eine zentrale Rolle spielen und bei einem Angriff gegen die Sicherungsumgebung auch die Vorbereitung einer späteren Wiederherstellung beeinträchtigt werden könnte.
Zwei weitere Windows-Lücken, CVE-2026-108140 und CVE-2026-108141, sind mit einem mittleren Risiko bewertet. Für einen Angriff werden laut Beschreibung die Rolle Restore Operator und die Kontrolle über den Inhalt einer gesicherten NAS-Freigabe benötigt. Unter diesen Voraussetzungen können Dateien per Path Traversal an beliebige Pfade auf dem Backup-Server geschrieben werden. Für Windows-Systeme nennt Veeam die Versionen 13.1.2.57 und 13.0.3.63 als Abhilfe. Welche der beiden Versionen installiert werden muss, hängt von der eingesetzten Produktlinie ab; die eigene Versionslinie sollte daher vor dem Update eindeutig festgestellt werden.
Auch Veeam Agent for Linux ist betroffen, wenn eine Veeam-Backup-&-Replication-Instanz den Agent verwaltet. Die Schwachstelle CVE-2026-105477 ist als hoch eingestuft und kann unter den beschriebenen Bedingungen eine Rechteausweitung ermöglichen. Als korrigierte Version nennt die Meldung 13.1.2.11. Für Veeam ONE betrifft CVE-2026-107671 die Multi-Faktor-Authentifizierung: Wer bereits über Administrator-Zugangsdaten verfügt, kann sie deaktivieren. Gegen diese Schwachstelle soll Version 13.1.0.7940 schützen.
Die verfügbaren Updates sollten zeitnah in die Wartungsplanung aufgenommen werden, insbesondere bei aus dem Netz erreichbaren oder für die Wiederherstellung besonders wichtigen Backup-Servern. Eine konkrete Ausnutzung der genannten Schwachstellen ist derzeit allerdings nicht belegt: Für den Hersteller liegen laut der vorliegenden Meldung keine Hinweise vor, dass Angreifer die Lücken bereits einsetzen. Das ist keine Entwarnung, sondern eine wichtige Abgrenzung zwischen vorhandener Schwachstelle und bestätigter Ausnutzung.