Veeam Backup & Replication · Divulgada

Veeam corrige bypass de autorização não autenticado com CVSS 9,1

27 de out. de 2026 · 1 min de leitura

A Veeam publicou correções para cinco vulnerabilidades no Backup & Replication, no Veeam Agent for Linux e no Veeam ONE. A mais grave, CVE-2026-108142 (CVSS 9,1), permite que um atacante não autenticado contorne a autorização no CDP Coordinator Service. Nenhuma exploração foi relatada na fonte; atualize para as builds corrigidas.

Por Redação HIFY Radar Atualizado 27/10/2026 21:15 Receba isso todo dia →← Voltar ao feed 1 fonte

AltaFalhaDivulgadaCorrigido

Neste artigo

O que aconteceu
Por que importa
O que fazer
Para o time técnico
Linha do tempo
Fontes

O que aconteceu

A Veeam liberou atualizações de segurança para cinco falhas no Backup & Replication, no Veeam Agent for Linux e no Veeam ONE. A mais grave permite que um atacante sem credenciais contorne a autorização no CDP Coordinator Service, com nota 9,1 de 10. As outras incluem escalada de privilégio local e um contorno de MFA no Veeam ONE.

Por que importa

O Backup & Replication guarda as cópias de recuperação da empresa. Uma falha nesse produto pode comprometer justamente os dados usados para restaurar a operação após um incidente. A falha mais grave não exige autenticação, segundo a fonte, e por isso exige atenção imediata.

O que fazer

Atualize o Backup & Replication para a build 13.1.2.57 (versão 13.1) ou 13.0.3.63 (versão 13.0), o Veeam Agent for Linux para a build 13.1.2.11 e o Veeam ONE para a build 13.1.0.7940 (13.1 P1).

Para o time técnico

CVE: CVE-2026-108142, CVE-2026-105477
Afetados: Veeam Backup & Replication (CDP Coordinator Service), Veeam Agent for Linux e Veeam ONE · Backup & Replication 13.0 e 13.1 nas falhas de autorização e path traversal; versões 12.x não são afetadas por essas falhas específicas. Veeam Agent for Linux (instalações gerenciadas) e Veeam ONE também recebem correções.
Exploração: Não relatada na fonte. Sem menção a PoC pública, exploração ativa ou entrada no KEV.
Correção: Backup & Replication 13.1.2 build 13.1.2.57; Backup & Replication 13.0.3 build 13.0.3.63; Veeam Agent for Linux 13.1.2 build 13.1.2.11; Veeam ONE 13.1 P1 build 13.1.0.7940.
Vetor: CVE-2026-108142 (CVSS 9,1): bypass de autorização por atacante não autenticado no CDP Coordinator Service do Backup & Replication. CVE-2026-108140 e CVE-2026-108141 (CVSS 5,9): gravação arbitrária de arquivos por path traversal. CVE-2026-105477 (CVSS 7,3): escalada de privilégio local em instalações gerenciadas do Veeam Agent for Linux. CVE-2026-107671 (CVSS 8,5): administrador do Veeam ONE contorna MFA ao desativá-la antes de concluir a verificação.
Mais detalhes: Cinco CVEs corrigidos no mesmo anúncio. Divulgação e correção em 28 de outubro de 2026. Fonte: publicação do DarkWebInformer no X sobre as atualizações da Veeam.