Skip to content
Hacker Posts

Veeam corrige neuf failles, dont une critique (CVE-2026-108142)

Le CERT-FR relaie neuf CVE Veeam (AVI-1399). La plus grave, CVE-2026-108142 (CVSS 9.1), permet un contournement d'autorisation non authentifié sur Backup & Replication.

Publié le 3 min de lecture
cveveeambackupalertecert-fr

Le CERT-FR a publié le 28 octobre 2026 l'avis CERTFR-2026-AVI-1399, qui relaie neuf vulnérabilités corrigées par Veeam le 27 octobre. La plus grave, CVE-2026-108142, est critique : un attaquant non authentifié peut contourner l'autorisation sur le service CDP Coordinator de Backup & Replication. Veeam étant une cible récurrente des opérateurs de rançongiciels, c'est un cycle de correctifs à ne pas repousser.

Produits et versions affectés

D'après l'avis CERT-FR et les bulletins Veeam (KB4948, KB4951, KB4957) :

  • Veeam Backup & Replication 13.1.x antérieures à 13.1.2 (build 13.1.2.57)
  • Veeam Backup & Replication 13.0.x antérieures à 13.0.3 (build 13.0.3.63)
  • Veeam Agent pour Linux antérieures à 13.1.2 (build 13.1.2.11)
  • Veeam Backup pour Microsoft 365 antérieures à 8.6 Patch 1 (build 8.6.0.5011)
  • Veeam ONE antérieures à 13.1 P1 (build 13.1.0.7940)

La KB4948 précise que les branches 12.x ne sont pas concernées par les failles de Backup & Replication.

Les failles à prioriser

  • CVE-2026-108142 — critique, CVSS 9.1. Contournement d'autorisation non authentifié sur le service CDP Coordinator (Backup & Replication).
  • CVE-2026-105477 — élevée, CVSS 7.3. Élévation de privilèges locale sur l'Agent Linux, uniquement pour les installations pilotées par un serveur Backup & Replication.
  • CVE-2026-108140 et CVE-2026-108141 — moyennes, CVSS 5.9. Un utilisateur disposant du rôle Restore Operator et contrôlant un partage NAS sauvegardé peut écrire des fichiers hors chemin (traversée de répertoire).

L'avis liste au total neuf identifiants : CVE-2025-64394, CVE-2026-105477, CVE-2026-106076, CVE-2026-106077, CVE-2026-106078, CVE-2026-107671, CVE-2026-108140, CVE-2026-108141 et CVE-2026-108142. Les risques retenus vont de l'exécution de code arbitraire à distance à l'injection SQL, l'élévation de privilèges, le déni de service et le contournement de la politique de sécurité. Aucune exploitation active n'est mentionnée à ce stade.

Que faire

  1. Mettez à jour vers les builds corrigés : Backup & Replication 13.1.2 (13.1.2.57) ou 13.0.3 (13.0.3.63), Agent Linux 13.1.2 (13.1.2.11), Backup for M365 8.6 Patch 1, Veeam ONE 13.1 P1.
  2. Traitez en priorité les serveurs Backup & Replication exposés au réseau : CVE-2026-108142 est non authentifiée.
  3. Vérifiez les attributions du rôle Restore Operator et l'exposition des partages NAS sauvegardés tant que les correctifs ne sont pas déployés.
  4. L'infrastructure de sauvegarde est le dernier rempart face à un rançongiciel : isolez-la, surveillez les accès au plan de gestion, et confirmez la version réellement en production après patch.

Pour mettre en perspective

Ce n'est pas le premier avis Veeam de l'année relayé par l'ANSSI : nous avions couvert l'avis AVI-0652 et la KB4852. Le schéma se répète parce que la console de sauvegarde est précisément ce qu'un attaquant cherche à neutraliser avant de chiffrer — un contournement d'autorisation non authentifié sur ce composant mérite donc un traitement prioritaire, exploitation publique ou pas.

Articles liés