Veeam One CVE-2026-64633 mit CVSS 10,0: Kritische Lücken in Backup-Infrastruktur

Backup-Systeme sind die letzte Verteidigungslinie gegen Ransomware. Genau diese Linie ist jetzt durch mehrere kritische Sicherheitslücken bei Veeam gefährdet. Der Hersteller hat am 04. August 2026 insgesamt elf Schwachstellen in Veeam One und der Service Provider Console (VSPC) geschlossen. Die kritischste darunter: CVE-2026-64633 mit der maximalen CVSS-Bewertung von 10,0.

Veeam One ist die Monitoring- und Analyseplattform für Backup-Infrastrukturen. Die Service Provider Console nutzen Hosting-Firmen und Managed Service Provider zur Verwaltung von Kunden-Backups. Beide Produkte sitzen im Zentrum der Backup-Landschaft und haben Zugriff auf sensible Daten und Anmeldeinformationen.

Was ist passiert?

Die elf Schwachstellen verteilen sich auf zwei Produkte:

Veeam One (Version 13.1 und früher):

1. CVE-2026-64633 (CVSS 10,0): Remote Code Execution ohne Authentifizierung. Die Schwachstelle erlaubt die Ausführung von Schadcode auf dem Veeam One-Server. Höchste Priorität.
2. CVE-2026-44963 (CVSS 9,4): Ein authentifizierter Domain-Benutzer kann Code auf dem Backup-Server ausführen. Betroffen sind alle Veeam Backup & Replication-Installationen mit angemeldeten Domain-Benutzern.

Veeam Service Provider Console (Version 9.2.1.33875 und früher):

1. CVE-2026-58073 (CVSS 9,5): Ein unauthentifizierter Angreifer kann sich als verwalteter Agent ausgeben und dessen Anmeldeinformationen erlangen. Die Komplexität des Angriffs ist hoch.
2. CVE-2026-58072 (CVSS 9,0): Beliebiges Schreiben von Dateien auf dem Management-Server, führt zu Remote Code Execution. Erfordert ein Benutzerkonto mit geringen Rechten.
3. CVE-2026-58067 (CVSS 8,7): Unauthentifizierter Denial of Service durch Erschöpfung des Speichers.
4. CVE-2026-58071 (CVSS 8,2): Das proxiede Appliance-API wird während eines kurzen Fensters nach Beginn einer Administrator-Session als Portal Administrator exponiert.

Dies ist der zweite kritische Patch-Zyklus für die VSPC innerhalb von drei Monaten. Im Mai 2026 hatte Veeam bereits CVE-2026-32998 (CVSS 9,4) geschlossen, eine RCE-Schwachstelle in der Alarm-SkriptAusführung.

Wer ist betroffen?

Betroffen sind:

1. Veeam One Version 13.1 und alle früheren Versionen
2. Veeam Service Provider Console Version 9.2.1.33875 und alle früheren Versionen der 9er-Reihe
3. Veeam Backup & Replication (für CVE-2026-44963)

Besonders betroffen sind Managed Service Provider und Hosting-Firmen, die die VSPC zur Verwaltung von Kunden-Backups einsetzen. Ein kompromittierter VSPC-Server gibt Zugriff auf die Backup-Infrastruktur aller verwalteten Kunden.

Wie kritisch ist das?

Ein Backup-System, das kompromittiert wird, stellt die gesamte Disaster-Recovery-Fähigkeit eines Unternehmens in Frage. Die Kombination aus unauthentifizierter RCE (CVE-2026-64633) und Agent-Impersonation (CVE-2026-58073) macht die Veeam-Landschaft zu einem attraktiven Ziel für Ransomware-Gruppen. Die Cl0p-Gruppe nutzt bekanntlich Veeam-Schwachstellen nach Veröffentlichung aus.

Für MSPs ist die Lage besonders akut: Ein kompromittierter VSPC-Server kann den Zugriff auf die Backups aller verwalteten Kunden ermöglichen. Das ist eine existenzbedrohende Situation für jeden Managed Service Provider.

Was sollten Admins jetzt tun?

1. Veeam One updaten: Installieren Sie Version 13.1.0.7034 oder neuer. Das ist die höchste Priorität.
2. VSPC patchen: Aktualisieren Sie die Service Provider Console auf Version 9.3.0.35057.
3. Backup & Replication prüfen: Prüfen Sie, ob CVE-2026-44963 Ihre Umgebung betrifft und installieren Sie den entsprechenden Patch.
4. Zugriff einschränken: Sichern Sie Veeam One- und VSPC-Server mit VPN und Netzwerksegmentierung ab. Keine direkte Internetexposition.
5. Logs prüfen: Prüfen Sie die Veeam-Logs auf ungewöhnliche API-Aufrufe, Agent-Registrierungen oder DateiZugriffe der letzten Wochen.
6. Backup-Strategie hinterfragen: Wenn Ihre Backup-Infrastruktur ausschließlich auf Veeam basiert, erwägen Sie eine zusätzliche, unabhängige Backup-Lösung als Notfall.

Einordnung für Unternehmen

Für KMU mit Veeam-Backups ist sofortiges Handeln nötig. Die Schwachstellen betreffen die Kerninfrastruktur der Datensicherung. Ein ungeschütztes Backup-System ist für Ransomware-Gruppen ein willkommenes Ziel. Der Trend, Veeam-Produkte aktiv anzugreifen, hat sich 2026 deutlich verstärkt. Regelmäßige Updates und Netzwerksegmentierung sind jetzt Pflicht.

Passende Anleitungen auf S-EDV

1. CISA KEV-Katalog: Warum Admins Known Exploited Vulnerabilities priorisieren müssen - Erklärt, wie der KEV-Katalog funktioniert und warum Backup-Systeme besonders schutzbedürftig sind.
2. Kopia Docker Backup-Tool - Alternative Backup-Lösung für kleine Unternehmen.

Quellen

1. The Hacker News: Veeam, Terraform MCP, Django Patch Critical Flaws
2. Borncity: Veeam One - Kritische Lücke mit CVSS 10,0 gefährdet Datensicherungen
3. SecurityOnline: Veeam Service Provider Console Flaws Enable Credential Theft