ESTOY BAJO UN CIBER ATAQUE

Alerta

Logo de Veeam

Alerta 2026-126 Vulnerabilidades críticas en Veeam Backup & Replication y otros productos Veeam

Producto(s) afectado(s): 

ProductoVersiones afectadas
Veeam Backup & Replication 13.1 (Windows y Veeam Software Appliance)13.1.1.18 y todas las compilaciones anteriores de 13.1
Veeam Backup & Replication 13.0 (Windows y Veeam Software Appliance)13.0.2.29 y todas las compilaciones anteriores de 13.0
Veeam Agent for Linux 13.1 (instalaciones administradas por Veeam Backup & Replication)13.1.1.4 y todas las compilaciones anteriores de 13.1
Veeam Backup for Microsoft 365 v88.5.0.1014 y anteriores (CVE-2026-106076 y CVE-2026-106077); 8.6.0.1102 y anteriores (CVE-2026-106078 y CVE-2025-64394)
Veeam ONE 13.113.1.0.7233 y todas las compilaciones anteriores de 13.1

Veeam Backup & Replication 12.x, Veeam Agent for Linux 13.0.x y 6.x, y Veeam ONE 13.0.x y 12.x no están afectados.

Descripción

Se han publicado varias vulnerabilidades en productos de Veeam, dos de ellas de severidad crítica: CVE-2026-108142 en Veeam Backup & Replication (CVSS v4.0 9.1) y CVE-2026-106076 en Veeam Backup for Microsoft 365 (CVSS v4.0 9.0). El aviso del proveedor no menciona explotación activa de ninguna de ellas.

Veeam Backup & Replication 13.x

CVE-2026-108142 (CVSS v4.0 9.1 – crítica) permite a un atacante remoto sin autenticación saltarse la autorización en el servicio CDP Coordinator. Afecta a Veeam Backup & Replication instalado sobre Windows y a Veeam Software Appliance, en las ramas 13.1 y 13.0.

CVE-2026-108140 y CVE-2026-108141 (CVSS v4.0 5.9 – media) permiten escribir archivos controlados por el atacante en una ruta arbitraria del servidor de respaldo mediante path traversal relativo. Para explotarlas se requiere un usuario autenticado con el rol Restore Operator que, además, controle el contenido de un recurso compartido NAS respaldado.

Veeam Agent for Linux 13.1

CVE-2026-105477 (CVSS v4.0 7.3 – alta) permite la escalada local de privilegios. Solo afecta a las instalaciones administradas por una instancia de Veeam Backup & Replication.

Veeam Backup for Microsoft 365 v8

CVE-2026-106076 (CVSS v4.0 9.0 – crítica) permite que un par de transferencia de organización (organization-transfer peer) autenticado inyecte SQL en la base de datos de configuración del servidor de origen, lo que habilita la lectura y escritura de datos de configuración entre tenants y la ejecución remota de código como la cuenta de servicio de PostgreSQL.

Además, el proveedor corrigió CVE-2026-106077 (CVSS v4.0 8.3 – alta), que permite a un usuario con el rol Administrator leer archivos arbitrarios del servidor de respaldo con privilegios de LocalSystem; CVE-2026-106078 (CVSS v4.0 6.9 – media), que permite a un atacante sin autenticación saltarse la autenticación de la API REST mediante un token de federación falsificado; y CVE-2025-64394 (CVSS v4.0 4.3 – media), que permite a un usuario local con pocos privilegios escribir archivos arbitrarios con privilegios de SYSTEM durante la instalación, con posible escalada de privilegios o denegación de servicio.

Veeam ONE 13.1

CVE-2026-107671 (CVSS v4.0 8.5 – alta, no crítica) permite a un atacante que ya cuenta con credenciales válidas de Administrator saltarse la autenticación multifactor (MFA) al deshabilitarla de forma global antes de completar la verificación.

El proveedor advierte que, una vez divulgadas las vulnerabilidades y sus parches, es probable que los atacantes intenten aplicar ingeniería inversa a los parches para explotar los despliegues sin actualizar, por lo que se recomienda aplicar las actualizaciones sin demora.

Solución

La solución consiste en actualizar a las versiones corregidas indicadas por el proveedor:

ProductoVersión corregida
Veeam Backup & Replication 13.113.1.2 (compilación 13.1.2.57)
Veeam Backup & Replication 13.013.0.3 (compilación 13.0.3.63)
Veeam Agent for Linux 13.113.1.2 (compilación 13.1.2.11)
Veeam Backup for Microsoft 3658.6 Patch 1 (compilación 8.6.0.5011), que corrige todas las fallas indicadas; la versión 8.6 (compilación 8.6.0.1102) corrige solo CVE-2026-106076 y CVE-2026-106077
Veeam ONE 13.113.1 Patch 1 (compilación 13.1.0.7940)

En Veeam Backup for Microsoft 365 se recomienda actualizar directamente a 8.6 Patch 1.

Como buena práctica, no se debe exponer a Internet los servidores de respaldo ni sus servicios de gestión; además, se recomienda segmentar la red de respaldo y restringir el acceso administrativo.

Información adicional: