Veeam Backup & Replication 13.1.2 schließt kritische CDP-Lücke
Veeam hat Backup & Replication 13.1.2 und 13.0.3 veröffentlicht. Sie schließen die kritische Lücke CVE-2026-108142 im CDP-Koordinator-Dienst und zwei Pfad-Traversal-Fehler. Version 12.x ist nicht betroffen. Auch Veeam ONE 13.1 P1 und Veeam Agent for Linux 13.1.2 bringen Sicherheitskorrekturen.
Veeam hat am 27. Oktober 2026 Veeam Backup & Replication 13.1.2 (Build 13.1.2.57) und 13.0.3 (Build 13.0.3.63) veröffentlicht. Die Updates schließen eine kritische Lücke im CDP-Koordinator-Dienst (CVE-2026-108142, CVSS 4.0: 9.1), über die ein Angreifer ohne Anmeldung die Autorisierung umgehen kann, sowie zwei Pfad-Traversal-Lücken (CVE-2026-108140 und CVE-2026-108141). Parallel erschienen Veeam Agent for Linux 13.1.2 und Veeam ONE 13.1 P1 mit je einer weiteren Korrektur.
Betroffen sind Windows-basierte Installationen von Veeam Backup & Replication 13.0 und 13.1 sowie die Veeam Software Appliance. Version 12.x ist laut Hersteller nicht betroffen. Weil Backup-Server bevorzugte Ziele von Ransomware-Gruppen sind und Veeam selbst vor schnellem Reverse Engineering der Patches warnt, sollten Admins mit Version 13 das Update nicht bis zum nächsten regulären Wartungsfenster schieben, sondern zeitnah einplanen.
Was ist passiert?
Im Sicherheitshinweis KB4948 beschreibt Veeam CVE-2026-108142 als Schwachstelle, mit der ein nicht authentifizierter Angreifer die Autorisierung des CDP Coordinator Service umgehen kann. Der CVSS-4.0-Vektor nennt Angriff über das Netzwerk, keine Rechte, keine Nutzerinteraktion und hohe Auswirkungen auf Integrität und Verfügbarkeit. Die Einstufung lautet kritisch, Score 9.1.
CVE-2026-108140 und CVE-2026-108141 (je CVSS 5.9, mittel) erlauben einem angemeldeten Benutzer mit der Rolle Restore Operator, der zusätzlich den Inhalt einer gesicherten NAS-Freigabe kontrolliert, über relatives Pfad-Traversal eigene Dateien an beliebige Pfade auf dem Backup-Server zu schreiben. Alle drei Lücken wurden über HackerOne gemeldet. Hinweise auf aktive Ausnutzung nennt Veeam nicht.
Im selben Hinweis steht CVE-2026-105477 (CVSS 7.3, hoch): eine lokale Rechteausweitung in Veeam Agent for Linux, die nur Installationen betrifft, die von einer Veeam-Backup-&-Replication-Instanz verwaltet werden. In KB4951 schließt Veeam ONE 13.1 P1 außerdem CVE-2026-107671 (CVSS 8.5, hoch). Damit kann ein Angreifer mit gültigen Administratorzugangsdaten die Multi-Faktor-Authentifizierung umgehen, indem er sie global abschaltet, bevor die MFA-Prüfung abgeschlossen ist.
Wer ist betroffen?
- Veeam Backup & Replication 13.1.1.18 und alle früheren Builds von 13.1, behoben in 13.1.2.57.
- Veeam Backup & Replication 13.0.2.29 und alle früheren Builds von 13.0, behoben in 13.0.3.63.
- Veeam Agent for Linux 13.1.1.4 und früher (nur von VBR verwaltet), behoben in 13.1.2.11. Versionen 13.0.x und 6.x sind nicht betroffen.
- Veeam ONE 13.1.0.7233 und früher, behoben in 13.1 P1 (Build 13.1.0.7940). Veeam ONE 13.0.x und 12.x sind nicht betroffen.
Nicht betroffen sind Umgebungen auf Veeam Backup & Replication 12.x. Wer dort bleibt, sollte trotzdem den eigenen Supportstatus und frühere Hinweise im Blick behalten.
Wie kritisch ist das?
CVE-2026-108142 ist das dringendste Problem: Für den Angriff sind keine Zugangsdaten nötig, und der Backup-Server ist das System, das im Ernstfall die Wiederherstellung sichern soll. Der Vektor enthält allerdings den Wert AT:P, es müssen also bestimmte Voraussetzungen beim Angriff vorliegen, die Veeam nicht näher erläutert. Die Pfad-Traversal-Lücken setzen eine privilegierte Rolle und Kontrolle über eine gesicherte Freigabe voraus und sind deutlich schwerer auszunutzen. Bei Veeam ONE braucht ein Angreifer bereits Admin-Zugangsdaten, gewinnt aber die Möglichkeit, den zweiten Faktor auszuhebeln.
Was sollten Admins jetzt tun?
- Version prüfen: In der Konsole unter Hilfe und Info oder in der Liste installierter Programme den genauen Build von Veeam Backup & Replication, Veeam ONE und den verwalteten Linux-Agenten ermitteln.
- Version 13.1 auf 13.1.2.57 und Version 13.0 auf 13.0.3.63 aktualisieren. Vor dem Update laufende Jobs beenden und eine aktuelle Konfigurationssicherung erstellen.
- Verwaltete Linux-Agenten nach dem Server-Update auf 13.1.2.11 bringen.
- Veeam ONE 13.1 auf P1 (Build 13.1.0.7940) patchen und danach prüfen, ob MFA weiterhin global aktiv ist.
- Rollen prüfen: Wer hat Restore Operator, und welche NAS-Freigaben werden gesichert? Unnötige Rollenzuweisungen entfernen.
- Backup-Server nicht aus dem Internet erreichbar betreiben und Verwaltungsdienste nur aus einem getrennten Admin-Netz zulassen.
Einordnung für Unternehmen
Veeam veröffentlicht inzwischen regelmäßig Sicherheitsupdates für Version 13, zuletzt im August für Veeam ONE. Für kleinere IT-Abteilungen heißt das: Backup-Software braucht einen eigenen, festen Patchprozess wie Firewall und Hypervisor. Wer noch auf 12.x arbeitet, ist von diesen Lücken nicht betroffen, sollte einen Umstieg auf 13 aber mit dem Wissen planen, dass die neue Generation häufiger Patches erhält. Unabhängig vom Patch bleiben unveränderliche Kopien und ein getrenntes Netz für den Backup-Server der wichtigste Schutz gegen Angriffe auf die Datensicherung.
Passende Anleitungen auf S-EDV
- Veeam Backup & Replication: Grundlagen und erster Backup-Job
- Veeam ONE: CVE-2026-64633 mit CVSS 10 (August 2026)
- Veeam Backup & Replication: kritische RCE-Lücke CVE-2026-44963
