Handlungsempfehlung zu Sicherheitslücken in Veeam Backup & Replication und Veeam for M365

Veeam weist in KB 4948 (Veeam Backup & Replication 13) auf die kritische Sicherheitslücke CVE-2026-108142 (CVSS 4.0: 9.1) hin. Sie betrifft den CDP Coordinator Service und erlaubt einem nicht authentifizierten Angreifer, die Autorisierung zu umgehen. Zusätzlich beschreibt Veeam in KB 4957 (Veeam Backup for Microsoft 365 8.6) die kritische Sicherheitslücke CVE-2026-106076 (CVSS 4.0: 9.0). Dabei kann ein authentifizierter Organization-Transfer-Peer per SQL-Injection auf die Konfigurationsdatenbank des Quellservers zugreifen. Das ermöglicht das Lesen und Schreiben von Konfigurationsdaten anderer Mandanten sowie die Ausführung von Code (RCE) als PostgreSQL-Dienstkonto.

Veeam Backup & Replication (CVE-2026-108142):
Betroffen sind die Versionen 13.1.1.18 und alle früheren 13.1-Builds sowie 13.0.2.29 und alle früheren 13.0-Builds. Dies gilt sowohl für Windows-basierte Installationen als auch für die Veeam Software Appliance. Veeam 12 ist von dieser Sicherheitslücke nicht betroffen. Eine aktive Ausnutzung ist nach aktuellem Kenntnisstand nicht bekannt.

Veeam Backup for Microsoft 365 (CVE-2026-106076):
Betroffen sind die Versionen 8.5.0.1014 und alle früheren Builds von Version 8. Nicht mehr unterstützte Versionen wurden nicht getestet, sind aber vermutlich ebenfalls betroffen. Das Update auf 8.6 schließt außerdem die weiteren Lücken CVE-2026-106077 (hoch), CVE-2026-106078 (mittel) und CVE-2025-64394 (mittel).

Handlungsempfehlung:

Update von Veeam Backup & Replication auf Version 13.1.2 (Build 13.1.2.57) bzw. 13.0.3 (Build 13.0.3.63)
Update von Veeam Backup for Microsoft 365 auf Version 8.6 Patch 1 (Build 8.6.0.5011)

Quellen:
https://www.veeam.com/kb4948
https://www.veeam.com/kb4957

Gerne unterstützen wir Sie bei der Prüfung Ihrer Systeme und der Umsetzung der entsprechenden Maßnahmen. Melden Sie sich dazu bitte bei unserem Support per Mail (support@systemhaus-vorort.de) oder telefonisch (+49 271 3388460-1) und vereinbaren einen zeitnahen Termin.

Sollten die betroffenen Produkte Teil eines Managed Service-Vertrags sein und Sie von der Sicherheitslücke betroffen sein, wird dazu automatisch ein Ticket erstellt und wir setzen uns proaktiv mit Ihnen in Verbindung.

Sollten Sie die betroffenen Produkte als Service unserer K-loud nutzen, müssen Sie sich in diesem Fall um nichts mehr kümmern, die notwendigen Anpassungen werden von uns vorgenommen.