Skip to content
Hacker Posts

Veeam Backup for Microsoft 365 : RCE et élévation corrigées (AVI-1411)

Le CERT-FR relaie l'avis AVI-1411 : quatre CVE dans Veeam Backup for Microsoft 365, dont du code arbitraire à distance et de l'élévation de privilèges. Correctifs en 8.6.0.1102 et 8.6.0.5011.

Publié le 2 min de lecture
cveveeamalerteanssibackup

Le CERT-FR a publié le 29 octobre 2026 l'avis CERTFR-2026-AVI-1411, qui relaie le bulletin de sécurité Veeam kb4962 du 28 octobre pour Veeam Backup for Microsoft 365. Quatre CVE sont corrigées. Les impacts retenus par l'ANSSI incluent l'exécution de code arbitraire à distance, l'élévation de privilèges, l'injection SQL, le déni de service, l'atteinte à la confidentialité et le contournement de la politique de sécurité. Aucune exploitation active n'est mentionnée, et le bulletin Veeam ne publie pas de score CVSS.

CVE et versions corrigées

Le bulletin kb4962 répartit les quatre CVE sur deux correctifs :

Sont concernées, selon le CERT-FR, les versions 8.x antérieures à 8.6.0.1102 ainsi que les versions postérieures à 8.6.0.1102 et antérieures à 8.6.0.5011. Veeam ne mappe pas publiquement chaque CVE à une description détaillée ; référez-vous à kb4962 pour l'état exact de votre build.

Que faire

  1. Identifiez votre build (Console Veeam Backup for Microsoft 365, menu Help › About) et comparez-le à 8.6.0.5011.
  2. Appliquez la 8.6.0.5011, qui regroupe les deux correctifs ; une 8.6.0.1102 seule laisse ouvertes CVE-2026-106078 et CVE-2025-64394.
  3. Priorisez : une solution de sauvegarde M365 est une cible de choix pour un rançongiciel — c'est le dernier recours de restauration. Une RCE ou une élévation de privilèges sur ce serveur compromet justement ce recours.
  4. Restreignez l'exposition du serveur de sauvegarde (segmentation réseau, accès d'administration limité) en attendant la mise à jour, et vérifiez la version réellement servie après correctif.

Pour mettre en perspective

Ce n'est pas le premier train de correctifs Veeam relayé par l'ANSSI ces dernières semaines — nous avions couvert l'avis AVI-1399 et ses neuf CVE sur Veeam Backup & Replication. La cadence sur l'écosystème Veeam reste soutenue, et la logique est toujours la même : l'infrastructure de sauvegarde est traitée par les attaquants comme une cible primaire, pas comme un filet de sécurité intouchable. Mettez-la à jour avec la même urgence qu'un service exposé.

Articles liés