Veeam corregge diverse vulnerabilità critiche in Backup & Replication. Aggiornare subito

Veeam ha annunciato di aver rilasciato una patch per la sua soluzione Backup & Replication così da correggere sette vulnerabilità ritenute "critiche" in quanto aprono le porte all'esecuzione di codice da remoto. L'azienda consiglia di aggiornare immediatamente il software.

Tre vulnerabilità critiche per Veeam Backup & Restore

Veeam ha comunicato di aver scoperto diverse vulnerabilità in Backup & Replication; cinque sono presenti nella versione 12, e cinque nella versione 13 del software.

In VBR 12 sono presenti due vulnerabilità d'importanza definita "critica": CVE-2026-21666 (punteggio 9.9) e CVE-2026-21667 (punteggio 9.9) consentono a utenti di dominio con bassi privilegi di eseguire codice da remoto su server di backup vulnerabili. Una terza vulnerabilità, nota come CVE-2026-21668 (punteggio 8.8), consente di aggirare le restrizioni e manipolare file arbitrari su un repository di backup.

Nella versione 13 sono invece presenti: CVE-2026-21669 (punteggio 9.9), che consente di eseguire codice da remoto; CVE-2026-21670 (punteggio 7.7), che consente di estrarre credenziali SSH dal software; CVE-2026-21671, che consente a un utente autenticato con il ruolo di amministratore dei backup di eseguire codice da remoto in ambienti ad alta disponibilità (va evidenziato che il ruolo di "amministratore dei backup" è interno a Veeam e non corrisponde necessariamente al ruolo di amministratore sul sistema).

Due vulnerabilità sono condivise tra le due versioni: CVE-2026-21708 (punteggio 9.9) consente a un utente di Backup Viewer di eseguire codice da remoto come utente "postgres" (che ha, dunque, pieno controllo sul database); CVE-2026-21672 (punteggio 8.8), infine, consente di ottenere privilegi elevati sui server Windows che hanno installato Backup & Replication.

L'azienda invita gli utenti ad aggiornare quanto prima il proprio software, in quanto "una volta che una vulnerabilità e la sua patch associata vengono divulgate, gli attaccanti proveranno probabilmente a effettuare il reverse engineering della patch per sfruttare le installazioni non aggiornate del software Veeam".