Security Meldungen · 28.10.2026
Kritische Veeam-Schwachstelle CVE-2026-108142: Backup-Server jetzt patchen
Veeam hat am 27. Oktober 2026 fünf Schwachstellen in Veeam Backup & Replication, Veeam Agent for Linux und Veeam ONE geschlossen. Die gravierendste, CVE-2026-108142 (CVSS v4.0: 9.1), erlaubt Angreifern ohne Anmeldung, die Autorisierung am CDP Coordinator Service zu umgehen. Betroffen sind die Versionsstränge 13.0 und 13.1, die Updates stehen bereit.
Was ist passiert: fünf Schwachstellen, eine davon kritisch
Veeam hat die Schwachstellen in den Knowledge-Base-Artikeln KB4948 und KB4951 offengelegt und die Korrekturen direkt mitgeliefert. Gemeldet wurden alle fünf über die Plattform HackerOne.
Eine Schwachstelle ist als kritisch eingestuft, zwei als hoch und zwei als mittel. Die kritische Lücke CVE-2026-108142 ist laut Veeam ohne Anmeldung über das Netzwerk ausnutzbar. Einen Workaround dokumentiert Veeam für keine der fünf Schwachstellen, das Update ist der vorgesehene Weg.
Keine der fünf CVEs steht bislang im Katalog aktiv ausgenutzter Schwachstellen (KEV) der US-Behörde CISA (Stand: 28.10.2026). Das ist eine Momentaufnahme, keine Entwarnung.
Backup-Infrastruktur: Updates haben Vorrang
Der Backup-Server ist das System, auf das es im Ernstfall ankommt. Er hält die Kopien der Geschäftsdaten und ist die Grundlage jeder Wiederherstellung, etwa nach einem Ransomware-Angriff. Wer ihn kontrolliert, kann Wiederherstellungen verhindern oder manipulieren.
Hinzu kommt das Zeitfenster nach der Veröffentlichung. Sobald ein Sicherheitsupdate verfügbar ist, versuchen Angreifer erfahrungsgemäß, es zurückzuentwickeln und ungepatchte Installationen gezielt anzugreifen. Je kürzer der Abstand zwischen Veröffentlichung und Update, desto kleiner das Risiko.
Die Schwachstellen im Überblick
Die Tabelle fasst alle fünf Schwachstellen mit Schweregrad und Fix-Build zusammen. Die Angaben stammen aus den Veeam-Artikeln KB4948 und KB4951.
| CVE | Produkt | Schweregrad (CVSS v4.0) | Kurzbeschreibung | Behoben in |
|---|---|---|---|---|
| CVE-2026-108142 | Veeam Backup & Replication 13.0 / 13.1 | Kritisch (9.1) | Umgehung der Autorisierung am CDP Coordinator Service, ohne Anmeldung | 13.1.2.57, 13.0.3.63 |
| CVE-2026-107671 | Veeam ONE 13.1 | Hoch (8.5) | Umgehung der Multi-Faktor-Authentifizierung mit gültigen Administrator-Zugangsdaten | 13.1.0.7940 (13.1 P1) |
| CVE-2026-105477 | Veeam Agent for Linux 13.1 (von Veeam Backup & Replication verwaltet) | Hoch (7.3) | Lokale Rechteausweitung | 13.1.2.11 |
| CVE-2026-108140 | Veeam Backup & Replication 13.0 / 13.1 | Mittel (5.9) | Schreiben von Dateien an beliebige Pfade auf dem Backup-Server (Path Traversal) | 13.1.2.57, 13.0.3.63 |
| CVE-2026-108141 | Veeam Backup & Replication 13.0 / 13.1 | Mittel (5.9) | Schreiben von Dateien an beliebige Pfade auf dem Backup-Server (Path Traversal) | 13.1.2.57, 13.0.3.63 |
CVE-2026-108142: Autorisierung am CDP Coordinator Service umgehbar
Der CDP Coordinator Service steuert in Veeam Backup & Replication die Continuous Data Protection (CDP), also die fortlaufende Replikation virtueller Maschinen. Er kommuniziert mit VMware vCenter, verteilt die CDP-Aufgaben und verwaltet die beteiligten Komponenten.
Über die Schwachstelle kann ein Angreifer ohne Zugangsdaten und ohne Zutun eines Nutzers die Autorisierung dieses Dienstes über das Netzwerk umgehen. Der CVSS-Vektor weist hohe Auswirkungen auf Integrität und Verfügbarkeit aus, auch auf nachgelagerte Systeme. Für einen erfolgreichen Angriff müssen bestimmte Bedingungen in der Zielumgebung erfüllt sein (Attack Requirements: Present). Betroffen sind Windows-basierte Installationen ebenso wie die Linux-basierte Veeam Software Appliance.
CVE-2026-107671: MFA-Umgehung in Veeam ONE
In Veeam ONE 13.1 kann ein Angreifer mit gültigen Administrator-Zugangsdaten die Multi-Faktor-Authentifizierung umgehen. Er deaktiviert sie global, bevor die MFA-Prüfung abgeschlossen ist. Damit verliert MFA ihre Schutzwirkung genau in dem Szenario, für das sie gedacht ist: gestohlene oder abgegriffene Administrator-Passwörter.
CVE-2026-105477: Rechteausweitung in Veeam Agent for Linux
Die Schwachstelle erlaubt eine lokale Rechteausweitung. Ein Angreifer braucht dafür lokalen Zugriff mit niedrigen Rechten auf das geschützte Linux-System. Betroffen sind nur Agenten, die von einer Veeam-Backup-&-Replication-Instanz verwaltet werden.
CVE-2026-108140 und CVE-2026-108141: Path Traversal bei NAS-Wiederherstellungen
Beide Schwachstellen setzen zwei Bedingungen gleichzeitig voraus: einen angemeldeten Benutzer mit der Rolle „Restore Operator“ und dessen Kontrolle über den Inhalt einer gesicherten NAS-Freigabe. Sind beide erfüllt, kann er über eine relative Pfadangabe eigene Dateien an beliebige Pfade auf dem Backup-Server schreiben. Veeam beschreibt beide CVEs wortgleich und behebt sie mit denselben Builds wie CVE-2026-108142.
Betroffene Versionen: nur der 13er-Zweig
Die Schwachstellen betreffen ausschließlich die 13er-Versionen. Wer noch Veeam Backup & Replication 12 einsetzt, muss für diesen Alert nichts tun.
| Produkt | Betroffen | Nicht betroffen | Abhilfe |
|---|---|---|---|
| Veeam Backup & Replication (Windows und Veeam Software Appliance) | 13.0 bis Build 13.0.2.29, 13.1 bis Build 13.1.1.18 | 12.x | 13.0.3 (13.0.3.63) oder 13.1.2 (13.1.2.57) |
| Veeam Agent for Linux (von Veeam Backup & Replication verwaltet) | 13.1 bis Build 13.1.1.4 | 13.0.x, 6.x | 13.1.2 (13.1.2.11) |
| Veeam ONE | 13.1 bis Build 13.1.0.7233 | 13.0.x, 12.x | 13.1 P1 (13.1.0.7940) |
Ein Detail verdient Aufmerksamkeit. Build 13.0.3.63 ist seit dem 25. August 2026 verfügbar und enthält die Korrekturen bereits, obwohl Veeam die Schwachstellen erst am 27. Oktober offengelegt hat. Version 13.1.1 vom 13. August 2026 erschien dagegen früher und ist betroffen. Entscheidend ist also die genaue Build-Nummer, nicht der Versionsstrang.
Auch wer kein CDP nutzt, ist nicht aus dem Schneider. Veeam beschränkt CVE-2026-108142 nicht auf Umgebungen mit aktiven CDP-Richtlinien. Jede Installation in den betroffenen Builds gehört aktualisiert.
Nächste Schritte: Update statt Workaround
Die Reihenfolge ist klar: erst den Bestand kennen, dann aktualisieren, dann Berechtigungen und Netzzugang prüfen. Planen Sie ein Wartungsfenster ein, ein Neustart kann erforderlich sein.
- Bestand erfassen: Build-Nummern aller Backup-Server, Veeam Software Appliances, verwalteten Linux-Agenten und Veeam-ONE-Installationen prüfen und mit der Tabelle oben abgleichen.
- Veeam Backup & Replication 13.1 auf 13.1.2 (Build 13.1.2.57) aktualisieren: Veeam verteilt das Update über den Veeam Updater, zuerst an Veeam Software Appliances 13.1, danach schrittweise an Windows-basierte Installationen. Wer nicht warten will, lädt das Installationsmedium direkt aus dem Veeam-Kundenportal (My Account).
- Veeam Backup & Replication 13.0 auf 13.0.3 (Build 13.0.3.63) aktualisieren: Wer eine Migration von Windows auf die Veeam Software Appliance plant, bleibt bis zum Abschluss auf 13.0.x, denn Veeam unterstützt die Migration nur aus diesem Zweig. 13.0.3 ist hier das richtige Ziel.
- Veeam Agent for Linux auf 13.1.2 (Build 13.1.2.11) bringen: Der Agent ist Bestandteil von Veeam Backup & Replication 13.1.2. Prüfen Sie nach dem Server-Update, ob alle verwalteten Linux-Agenten diesen Build erreicht haben.
- Veeam ONE auf 13.1 P1 (Build 13.1.0.7940) aktualisieren.
- Rollen und Konten prüfen: Wer hat die Rolle „Restore Operator“? Wer hat Administratorrechte in Veeam ONE? Nicht mehr benötigte Berechtigungen entziehen.
- Backup-Infrastruktur abschotten: Backup-Server und Managementoberflächen nur aus dedizierten Administrationsnetzen erreichbar machen, nicht aus Benutzer- oder Gastnetzen.
Veeam dokumentiert für keine der fünf Schwachstellen einen Workaround. Improvisierte Maßnahmen ersetzen das Update nicht.
Kompromittierung prüfen: keine IoCs, aber klare Prüfpunkte
Für diese Schwachstellen hat Veeam bislang keine Indicators of Compromise (IoCs) veröffentlicht. Ein gezielter Blick in Protokolle und Konfigurationen lohnt sich trotzdem, vor dem Update und unmittelbar danach.
- Unerwartete Änderungen an CDP-Richtlinien oder an der CDP-Infrastruktur in Veeam Backup & Replication
- Unbekannte oder unerwartet geänderte Dateien auf dem Backup-Server, insbesondere nach Wiederherstellungen aus NAS-Freigaben
- Änderungen an den MFA-Einstellungen in Veeam ONE, die keinem geplanten Change zuzuordnen sind
- Anmeldungen an Backup- und Monitoring-Systemen zu ungewöhnlichen Zeiten oder aus ungewöhnlichen Netzen
NIS-2 und DSGVO: Patchen wird zur dokumentierten Pflicht
Für besonders wichtige und wichtige Einrichtungen im Sinne des BSI-Gesetzes (BSIG) ist Schwachstellenmanagement gesetzliche Pflicht. § 30 Abs. 2 BSIG nennt als Mindestmaßnahmen ausdrücklich das Backup-Management (Nr. 3), das Management von Schwachstellen bei der Wartung von IT-Systemen (Nr. 5) und den Einsatz von Multi-Faktor-Authentifizierung (Nr. 10). Alle drei Punkte berührt dieser Security Alert unmittelbar. Nach § 30 Abs. 1 BSIG müssen Einrichtungen die Umsetzung dokumentieren, das gilt auch für den Patchvorgang.
Unabhängig von NIS-2 verlangt Art. 32 DSGVO von Verantwortlichen und Auftragsverarbeitern geeignete technische Maßnahmen, um Integrität, Verfügbarkeit und Belastbarkeit der Systeme auf Dauer sicherzustellen und die Verfügbarkeit personenbezogener Daten nach einem Zwischenfall rasch wiederherzustellen. Eine funktionierende, abgesicherte Backup-Infrastruktur ist dafür zentral.
Häufige Fragen
Wir setzen Veeam Backup & Replication 12 ein. Sind wir betroffen?
Nein. Die drei Schwachstellen in Veeam Backup & Replication betreffen ausschließlich die Versionsstränge 13.0 und 13.1. Version 12.x ist nicht betroffen.
Wir nutzen kein CDP. Müssen wir trotzdem patchen?
Ja. Veeam beschreibt CVE-2026-108142 nicht als auf Umgebungen mit aktiven CDP-Richtlinien beschränkt. Jede Installation in den betroffenen Builds sollte aktualisiert werden.
Wir sind bereits auf 13.0.3. Gibt es noch etwas zu tun?
Für Veeam Backup & Replication nicht, Build 13.0.3.63 enthält die Korrekturen. Prüfen Sie aber Veeam ONE separat, dort ist der 13.1-Zweig betroffen. Veeam Agent for Linux 13.0.x ist nicht betroffen.
Was bedeutet die MFA-Lücke in Veeam ONE in der Praxis?
Ein Angreifer braucht gültige Administrator-Zugangsdaten. Ohne Update schützt MFA dann nicht mehr zuverlässig vor dem Missbrauch gestohlener Admin-Passwörter. Veeam ONE 13.1 P1 behebt das.
Wie schnell sollten wir handeln?
So schnell wie möglich. CVE-2026-108142 ist kritisch eingestuft und ohne Anmeldung über das Netzwerk ausnutzbar. Nach der Veröffentlichung eines Patches steigt erfahrungsgemäß das Risiko für ungepatchte Systeme.
Quellen: Veeam KB4948, KB4951, KB4738 (veeam.com), CISA Known Exploited Vulnerabilities Catalog, § 30 BSIG, Art. 32 DSGVO
Unterstützung durch enthus
enthus erfasst die Build-Stände Ihrer Veeam-Umgebung, plant das Update von Backup-Servern, Software Appliances, Linux-Agenten und Veeam ONE und setzt es im Wartungsfenster um. Im selben Zug prüfen wir Rollen, MFA-Konfiguration und die Netzsegmentierung Ihrer Backup-Infrastruktur.