Veeam Backup kritisch: CVE-2026-108142 erlaubt Angriff ohne Anmeldung

Veeam hat am 27. Oktober 2026 Sicherheitsupdates für Backup & Replication veröffentlicht und dabei eine kritische Lücke geschlossen: Über CVE-2026-108142 (CVSS v4.0 9.1) kann ein Angreifer ohne Anmeldung die Autorisierung am CDP-Koordinator-Dienst umgehen. Betroffen ist genau das System, das im Ernstfall die Wiederherstellung sichern soll — und Backup-Server sind ein bevorzugtes Ziel von Ransomware-Gruppen.

Was ist passiert?

Im Hersteller-Advisory KB4948 dokumentiert Veeam mehrere Schwachstellen in Backup & Replication der Generation 13. Die gravierendste ist CVE-2026-108142 (CVSS v4.0 9.1, kritisch): Ein nicht authentifizierter Angreifer kann die Autorisierung des CDP Coordinator Service über das Netzwerk umgehen, ohne Rechte und ohne Nutzerinteraktion. Der CVSS-Vektor enthält allerdings den Wert AT:P — es müssen also bestimmte Voraussetzungen für den Angriff erfüllt sein, die Veeam nicht näher erläutert.

Zwei weitere Lücken (CVE-2026-108140 und CVE-2026-108141, je CVSS 5.9) erlauben einem angemeldeten Benutzer mit der Rolle „Restore Operator“, der zusätzlich den Inhalt einer gesicherten NAS-Freigabe kontrolliert, über Pfad-Traversal das Schreiben eigener Dateien an beliebige Pfade auf dem Backup-Server. Hinzu kommt CVE-2026-105477 (CVSS 7.3) — eine lokale Rechteausweitung im von Veeam verwalteten Linux-Agenten. Separat schließt Veeam ONE 13.1 P1 die Lücke CVE-2026-107671 (hoch), mit der ein Angreifer mit gültigen Administratorrechten die Multi-Faktor-Authentifizierung global deaktivieren kann, bevor die MFA-Prüfung abgeschlossen ist.

Alle Lücken wurden über HackerOne gemeldet. Hinweise auf eine aktive Ausnutzung nennt Veeam bislang nicht — der Hersteller warnt jedoch ausdrücklich davor, dass Patches schnell nachgebaut (Reverse Engineering) werden können.

Wer ist betroffen?

Betroffen sind ausschließlich Windows-basierte Installationen der Generation 13:

• Veeam Backup & Replication 13.1.1.18 und alle früheren Builds der Version 13.1 — behoben in 13.1.2 (Build 13.1.2.57).
• Veeam Backup & Replication 13.0.2.29 und alle früheren Builds der Version 13.0 — behoben in 13.0.3 (Build 13.0.3.63).
• Veeam Agent for Linux 13.1.1.4 und früher (nur wenn von Backup & Replication verwaltet) — behoben in 13.1.2.11.
• Veeam ONE 13.1.0.7233 und früher — behoben in 13.1 P1 (Build 13.1.0.7940).

Umgebungen auf Veeam Backup & Replication 12.x sind von diesen Lücken laut Hersteller nicht betroffen.

Was jetzt zu tun ist

1. Installierten Build prüfen: in der Veeam-Konsole unter „Hilfe und Info“ bzw. in der Liste installierter Programme die genaue Version von Backup & Replication, Veeam ONE und dem verwalteten Linux-Agenten ermitteln.
2. Vor dem Update laufende Jobs beenden und eine aktuelle Konfigurationssicherung erstellen.
3. Version 13.1 auf 13.1.2.57 und Version 13.0 auf 13.0.3.63 aktualisieren; verwaltete Linux-Agenten anschließend auf 13.1.2.11 bringen.
4. Veeam ONE 13.1 auf P1 (Build 13.1.0.7940) patchen und danach prüfen, ob MFA weiterhin global aktiv ist.
5. Rollenzuweisungen kontrollieren: Wer hat „Restore Operator“, welche NAS-Freigaben werden gesichert? Nicht benötigte Rollen entfernen.
6. Den Backup-Server nicht aus dem Internet erreichbar betreiben und Verwaltungsdienste nur aus einem getrennten Admin-Netz zulassen. Unveränderliche (immutable) Sicherungskopien bleiben der wichtigste Schutz gegen Angriffe auf die Datensicherung.

So hilft Binary System Services

Wir prüfen Ihre Veeam-Installation auf den betroffenen Build, planen das Update fenstergenau mit vorheriger Konfigurationssicherung und härten den Backup-Server über Netzsegmentierung und Rollenkontrolle ab. Auf Wunsch richten wir ein wiederkehrendes Patch- und Monitoring-Fenster für Ihre Datensicherung ein — damit Backup-Software den gleichen festen Prozess erhält wie Firewall und Hypervisor. Sprechen Sie uns an.

Angaben ohne Gewähr. Im Zweifel bitte die offizielle Quelle prüfen.