Angreifer können Veeam-Backup-Server manipulieren und MFA deaktivieren

Angreifer können unter anderem an einer „kritischen“ Sicherheitslücke in der Backuplösung Veeam Backup & Replication ansetzen und manipulierend auf Backup-Server zugreifen. Stimmen die Voraussetzungen, können Angreifer die Multi-Faktor-Authentifizierung (MFA) von Veeam ONE ausschalten. Sicherheitspatches stehen zum Download bereit.

Weil Backup-Server ein beliebtes Ziel von Ransomware-Banden sind, sollten Admins die verfügbaren Sicherheitspatches zeitnah installieren. Derzeit gibt es seitens des Softwareherstellers keine Hinweise, dass Angreifer die Schwachstellen bereits ausnutzen.

Kritische Sicherheitslücke

Wie aus einer Warnmeldung hervorgeht, können Angreifer in der Windows-Version von Veeam Backup & Replication an drei Sicherheitslücken ansetzen, eine weitere steckt in Veeam Agent for Linux. Eine Lücke (CVE-2026-108142) gilt als „kritisch“.

Dabei sollen Angreifer der Beschreibung der Schwachstelle zufolge ohne Anmeldung auf den Continuous-Data-Protection-Dienst (CDP) zugreifen können. Der Dienst läuft auf dem Backup-Server und koordiniert Replikations- und Datentransfer-Aufgaben für die CDP-Funktion. Es ist davon auszugehen, dass Angreifer im Anschluss Backuppläne durcheinanderbringen können.

Zwei weitere Lücken (CVE-2026-108140, CVE-2026-108141) sind mit „mittel“ eingestuft. In beiden Fällen benötigen Angreifer die Rolle Restore Operator und Kontrolle über den Inhalt einer gesicherten NAS-Freigabe. Dann können sie per Path Traversal Dateien an beliebige Pfade auf dem Backup-Server schreiben. Um Windows-Systeme zu schützen, müssen Admins die Version 13.1.2.57 oder 13.0.3.63 installieren.

Die verbleibende Schwachstelle (CVE-2026-105477 „hoch“) betrifft Veeam Agent for Linux, sofern eine Backup-&-Replication-Instanz ihn verwaltet. An dieser Stelle können sich Angreifer höhere Rechte verschaffen. Abhilfe schafft die Version 13.1.2.11.

Verfügt ein Angreifer über Admin-Zugangsdaten, kann er in Veeam ONE MFA deaktivieren (CVE-2026-107671 „hoch“). Version 13.1.0.7940 ist dagegen gerüstet.