Veeam: Kritische Lücke in Backup & Replication 13 — Authentifizierung am CDP-Dienst lässt sich umgehen
Veeam hat am 27. Oktober 2026 Updates für Backup & Replication, den Agent for Linux und Veeam ONE veröffentlicht. Fünf Schwachstellen sind damit behoben. Die gravierendste, CVE-2026-108142, erlaubt einem Angreifer ohne Anmeldung, die Autorisierung am CDP Coordinator Service des Backup-Servers zu umgehen (CVSS 9,1). Betroffen sind die Zweige 13.0 und 13.1. Wer sie betreibt, sollte die Updates zeitnah einplanen — Backup-Server sind ein bevorzugtes Ziel von Ransomware-Gruppen.
5
Schwachstellen behoben
9,1
Höchster CVSS-v4-Wert
13.0 / 13.1
Betroffene Zweige
Keine Hinweise
auf Ausnutzung (laut Medien)
Die Schwachstellen im Überblick
Backup & Replication (Windows, Software Appliance)
Autorisierungsumgehung am CDP Coordinator Service. Ein nicht authentifizierter Angreifer kann die Zugriffsprüfung umgehen. Der Vektor (AV:N, PR:N, UI:N) heißt: aus dem Netz, ohne Anmeldung, ohne Zutun eines Benutzers.
Backup & Replication (Windows, Software Appliance)
Relative Path Traversal: Ein angemeldeter Benutzer mit der Rolle Restore Operator, der den Inhalt einer gesicherten NAS-Freigabe kontrolliert, kann Dateien an einen beliebigen Pfad auf dem Backup-Server schreiben.
Backup & Replication (Windows, Software Appliance)
Gleiche Beschreibung und gleiche Bewertung wie CVE-2026-108140. Veeam nennt keinen Unterschied zwischen beiden Einträgen.
Veeam Agent for Linux (von Backup & Replication verwaltet)
Lokale Rechteausweitung. Betroffen sind nur Installationen, die von einer Backup-&-Replication-Instanz verwaltet werden. Der Vektor (AV:L, PR:L) setzt lokalen Zugriff mit niedrigen Rechten voraus.
Veeam ONE 13.1
MFA-Umgehung: Wer gültige Administrator-Zugangsdaten hat, kann die Multi-Faktor-Authentifizierung global abschalten, bevor die MFA-Prüfung abgeschlossen ist. Der zweite Faktor schützt damit nicht vor gestohlenen Admin-Passwörtern.
Alle Werte sind CVSS v4.0 laut Veeam. Veeam nennt in den Hinweisen keine CVSS-v3-Werte.
Betroffene Versionen und Fix-Releases
Backup & Replication
Agent for Linux
Veeam ONE
Backup & Replication 12.x ist laut Veeam nicht betroffen. Für Veeam ONE sind 13.0.x und 12.x nicht betroffen. Für den Agent for Linux gilt das für 13.0.x und 6.x. Die Fixes für Windows-Installationen und die Software Appliance sind unter derselben Versionsnummer geführt.
Was bekannt ist — und was nicht
- ▸Veeam schreibt zum Angriffsweg bei CVE-2026-108142 nur, dass die Autorisierung am CDP Coordinator Service umgangen werden kann. Was ein Angreifer danach tun kann, steht nicht in den Hinweisen. heise geht davon aus, dass sich Backup-Pläne manipulieren lassen. Eine Remote Code Execution wird von keiner der Quellen behauptet.
- ▸Welcher Netzwerkport betroffen ist und ob der Dienst in der Standardkonfiguration von außen erreichbar ist, nennt Veeam nicht.
- ▸Eine aktive Ausnutzung ist laut heise und Cyber Security News nicht bekannt. Veeam selbst macht dazu keine Angabe. Das ist keine Entwarnung: Veeam weist selbst darauf hin, dass Angreifer veröffentlichte Patches zurückentwickeln.
- ▸Workarounds gibt es nach den Hinweisen nicht. Die einzige Maßnahme ist das Update.
- ▸Die Lücken wurden über HackerOne gemeldet. Namen der Entdecker nennt Veeam nicht.
Warum Backup-Server besonders zählen
Wer den Backup-Server kontrolliert, trifft das letzte Sicherheitsnetz: Backup-Pläne, Aufbewahrung und Wiederherstellungspunkte. Ransomware-Gruppen gehen deshalb gezielt dorthin. Veeam-Lücken wurden in der Vergangenheit bereits ausgenutzt; Cyber Security News erinnert an CVE-2024-40711, die zur Verbreitung der Frag-Ransomware diente. Mit den neuen Lücken besteht kein bekannter Zusammenhang. Der Fall zeigt aber, dass auch bei Backup-Software das Zeitfenster nach der Veröffentlichung eines Patches kritisch ist.
Hinweis zu Veeam ONE
CVE-2026-107671 betrifft nur Veeam ONE 13.1 und setzt gültige Administrator-Zugangsdaten voraus. Das Risiko liegt in einem Szenario nach einem Passwortdiebstahl: Dann schützt MFA nicht mehr. Neben dem Update bleibt ein starkes, eindeutiges Admin-Passwort wichtig.
Was Sie jetzt tun sollten
- ▸Version prüfen: In der Veeam-Konsole über Help > About den genauen Build ablesen. Entscheidend ist die Build-Nummer, nicht nur die Hauptversion.
- ▸Backup & Replication auf 13.1.2 (Build 13.1.2.57) oder 13.0.3 (Build 13.0.3.63) aktualisieren. Verwaltete Linux-Agenten auf 13.1.2 (Build 13.1.2.11) bringen, Veeam ONE auf 13.1 P1 (Build 13.1.0.7940).
- ▸Vor dem Update die Konfigurationsdatenbank sichern das Update anhand der Upgrade-Hinweise von Veeam planen (Veeam KB4738).
- ▸Unsere Empfehlung, kein Workaround von Veeam: Den Backup-Server nur aus dem Management-Netz erreichbar machen und nicht direkt aus dem Internet oder aus Benutzernetzen. Das verringert die Angriffsfläche unabhängig von dieser Lücke.
- ▸Rollen prüfen: Die Rolle Restore Operator nur an Personen vergeben, die sie wirklich brauchen. Gesicherte NAS-Freigaben, deren Inhalt Dritte kontrollieren, sind bei den Path-Traversal-Lücken der Ausgangspunkt.
- ▸Logs und Backup-Jobs auf unerwartete Änderungen prüfen — etwa auf neue oder geänderte Backup-Pläne, abgeschaltete Jobs oder verkürzte Aufbewahrung.
Unterstützung gewünscht?
Terrion unterstützt Sie bei Bestandsaufnahme, Patch-Planung und der Absicherung Ihrer Backup-Umgebung — sprechen Sie uns an.
Security-Beratung anfragen →Quellen: Veeam KB4948 · Veeam KB4951 · heise online · Cyber Security News