Veeam ha pubblicato il 27 ottobre 2026 un bollettino che corregge una vulnerabilità Veeam critica in Backup & Replication 13. La falla, identificata come CVE-2026-108142, permette a un attaccante non autenticato di aggirare i controlli di autorizzazione del servizio CDP Coordinator, il componente che coordina la protezione continua dei dati. L’azienda le assegna un punteggio CVSS v4.0 di 9.1 e invita ad aggiornare subito alle build 13.1.2.57 o 13.0.3.63. Le versioni 12.x non sono coinvolte.
Cosa sappiamo della vulnerabilità Veeam CVE-2026-108142
Secondo il bollettino KB4948, la falla consente a chi non ha credenziali di superare l’autorizzazione sul servizio CDP Coordinator. Il record pubblicato nel catalogo CVE la classifica come CWE-636, cioè un componente che in caso di errore “fallisce in modo aperto” invece di bloccare l’accesso. Il vettore CVSS indica un attacco via rete, senza privilegi e senza interazione dell’utente, con impatto alto su integrità e disponibilità. Il problema è stato segnalato tramite il programma HackerOne.
Sono interessate le installazioni di Backup & Replication su Windows e la Veeam Software Appliance. Al momento il bollettino non parla di attacchi in corso che sfruttano questa vulnerabilità.
Versioni coinvolte e aggiornamenti disponibili
- Vulnerabili: Veeam Backup & Replication 13.1.1.18 e tutte le build 13.1 precedenti, 13.0.2.29 e tutte le build 13.0 precedenti.
- Corrette: Backup & Replication 13.1.2 (build 13.1.2.57) e 13.0.3 (build 13.0.3.63).
- Non coinvolte: le versioni più vecchie, come la 12.x.
Lo stesso aggiornamento 13.1.2.57 corregge anche due falle di gravità media (CVE-2026-108140 e CVE-2026-108141, CVSS 5.9). Permettono a un utente autenticato con ruolo di Restore Operator, che controlla anche il contenuto di una condivisione NAS sottoposta a backup, di scrivere file in percorsi arbitrari del server di backup. Le note di rilascio citano inoltre CVE-2026-105477 (CVSS 7.3), un’escalation dei privilegi locale in Veeam Agent for Linux, che riguarda solo le installazioni gestite da un server Backup & Replication.
Perché i server di backup sono un bersaglio delicato
I sistemi di backup custodiscono le copie da cui un’azienda riparte dopo un incidente, per questo una falla che si sfrutta senza credenziali merita priorità alta. La stessa Veeam ricorda nel bollettino che, una volta resi pubblici una vulnerabilità e la relativa patch, gli attaccanti tendono ad analizzare l’aggiornamento per colpire chi non l’ha ancora installato. È lo stesso schema visto di recente con le vulnerabilità nei BMC dei server Supermicro e con le falle di Tailscale SSH: la finestra tra la pubblicazione e i primi tentativi di attacco può essere breve.
Cosa fare subito
- Verificare la build installata di Backup & Replication 13 dalla console o dalle informazioni del prodotto.
- Aggiornare alla 13.1.2.57 oppure alla 13.0.3.63. Secondo Veeam, la patch arriva tramite Veeam Updater sulle Software Appliance 13.1 e progressivamente sulle installazioni Windows 13.1; si può anche scaricare il supporto di installazione dall’area My Account.
- Limitare l’accesso di rete ai servizi del server di backup, compreso il CDP Coordinator, alle sole postazioni di gestione autorizzate.
- Controllare i registri del server per accessi insoliti fino al completamento dell’aggiornamento.
Fonti: Veeam KB4948, Veeam KB4738, Veeam KB3103, CIRCL Vulnerability-Lookup.
