Veeam : une faille critique vise votre dernier filet de sécurité

Quand un rançongiciel frappe, la question qui décide de tout est simple : vos sauvegardes sont-elles intactes ? C'est pour cette raison que les serveurs de sauvegarde font partie des premières cibles des attaquants. Et c'est pour cette raison que la faille publiée par Veeam le 27 octobre mérite une attention immédiate.

Le bulletin KB4948 corrige CVE-2026-108142, une vulnérabilité critique de Veeam Backup & Replication 13. Selon l'éditeur, elle permet à un attaquant non authentifié de contourner l'autorisation sur le service CDP Coordinator.

Ce que l'on sait

D'après le bulletin de Veeam et la presse spécialisée (IT-Connect, SecurityOnline) :

Gravité : CVSS 4.0 de 9,1 sur 10. L'attaque est possible à distance, sans compte et sans action d'un utilisateur. Le vecteur publié par Veeam indique un impact élevé sur l'intégrité et la disponibilité.
Composant : le service CDP Coordinator, sur les installations Windows de Veeam Backup & Replication et sur la Veeam Software Appliance (Linux).
Versions touchées : les builds 13.1 jusqu'à 13.1.1.18 et les builds 13.0 jusqu'à 13.0.2.29. Veeam précise que la version 12 n'est pas concernée.
Exploitation : selon IT-Connect et SecurityOnline, aucune exploitation active n'est signalée à ce jour. Veeam rappelle toutefois que les attaquants analysent les correctifs publiés pour cibler les serveurs qui ne sont pas à jour, et recommande d'installer les mises à jour sans délai.
Contournement : aucun n'est proposé. La mise à jour est la seule protection documentée.

Le même bulletin corrige trois autres failles :

CVE-2026-108140 et CVE-2026-108141 (CVSS 5,9) : un utilisateur authentifié disposant du rôle Restore Operator, et qui contrôle le contenu d'un partage NAS sauvegardé, peut écrire des fichiers à un emplacement arbitraire du serveur de sauvegarde.
CVE-2026-105477 (CVSS 7,3) : une élévation de privilèges locale dans Veeam Agent for Linux, pour les agents gérés par un serveur Veeam Backup & Replication.

Un second bulletin, KB4951, corrige CVE-2026-107671 (CVSS 8,5) dans Veeam ONE 13.1 : un attaquant disposant d'identifiants administrateur peut contourner la double authentification en la désactivant globalement.

Pourquoi c'est grave pour une entreprise

Un serveur de sauvegarde n'est pas un serveur comme les autres. Il détient des droits étendus sur l'ensemble du système d'information : il lit les machines virtuelles, les bases de données, les partages de fichiers, et il pilote les copies censées permettre de tout reconstruire.

Pour un opérateur de rançongiciel, le prendre en main permet deux choses :

supprimer ou altérer les sauvegardes avant de chiffrer le reste, pour forcer le paiement de la rançon
profiter de ses accès pour atteindre les systèmes qu'il protège

Une faille exploitable sans authentification sur ce type de serveur est donc à traiter avec la même priorité qu'une faille sur un pare-feu ou un VPN, même si elle n'est pas exposée sur Internet. Un attaquant déjà présent sur le réseau, par exemple après un hameçonnage réussi, pourra la chercher.

Les versions corrigées

Selon Veeam :

Veeam Backup & Replication 13.1.2 (build 13.1.2.57), publiée le 27 octobre
Veeam Backup & Replication 13.0.3 (build 13.0.3.63) pour la branche 13.0
Veeam Agent for Linux 13.1.2 (build 13.1.2.11)
Veeam ONE 13.1 P1 (build 13.1.0.7940)

Les mesures à prendre maintenant

Identifier vos versions. Vérifiez la version exacte de chaque serveur Veeam Backup & Replication, de vos appliances et de Veeam ONE. Les environnements gérés par un prestataire sont aussi concernés.
Mettre à jour en priorité. Installez les builds corrigés ci-dessus. Prévoyez un éventuel redémarrage des appliances.
Vérifier l'isolement du serveur de sauvegarde. Il ne doit jamais être joignable depuis Internet, et l'accès à ses services doit être limité aux seuls flux nécessaires, depuis un réseau d'administration dédié.
Séparer les identités. Le serveur de sauvegarde ne devrait pas dépendre du même annuaire que les systèmes qu'il protège : la compromission de l'un ne doit pas entraîner celle de l'autre.
Garder une copie hors d'atteinte. Une copie immuable ou hors ligne, que l'on ne peut ni modifier ni supprimer depuis le réseau, reste la meilleure garantie de pouvoir restaurer.
Tester la restauration. Une sauvegarde qui n'a jamais été restaurée est une hypothèse, pas une garantie.

Notre regard

Les sauvegardes sont souvent considérées comme un sujet d'infrastructure, géré à part de la sécurité. C'est une erreur : c'est le dernier rempart, et les attaquants le savent. Lors de nos tests d'intrusion internes, l'infrastructure de sauvegarde fait partie des chemins que nous vérifions systématiquement, car elle offre souvent un raccourci vers l'ensemble du système d'information.

Si vous voulez savoir si vos sauvegardes résisteraient à un attaquant déjà présent sur votre réseau, contactez-nous.