Veeam : des correctifs pour protéger les serveurs de sauvegarde et leur authentification
Le 28 octobre 2026, le CERT-FR a relayé trois bulletins Veeam publiés le 27 octobre concernant ses outils de sauvegarde et de supervision. Les risques et conditions d’exploitation varient fortement selon le produit ; ils ne correspondent pas tous à une attaque sans compte.
Dans Backup & Replication 13.0 et 13.1, CVE-2026-108142, notée 9,1/10 en CVSS 4.0, permet de contourner les autorisations du service CDP Coordinator sans authentification. Les correctifs sont 13.0.3.63 et 13.1.2.57. L’éditeur précise que les versions antérieures, comme 12.x, ne sont pas affectées par ce défaut.
Dans Backup for Microsoft 365, CVE-2026-106076 atteint 9,0/10 en CVSS 4.0 : un pair authentifié de transfert d’organisation peut provoquer une injection SQL et une exécution de code sous le compte du service PostgreSQL. La version 8.6.0.1102 corrige cette faille, mais 8.6 Patch 1, build 8.6.0.5011, traite aussi d’autres défauts d’authentification et d’installation.
Enfin, CVE-2026-107671 dans Veeam ONE nécessite des identifiants administrateur valides pour contourner la double authentification ; installer 13.1 P1, build 13.1.0.7940. Les avis consultés n’attestent pas d’exploitation active.
Inventorier chaque composant, appliquer son correctif et vérifier le build obtenu. L’enjeu est de protéger l’infrastructure permettant de restaurer les données, sans présumer que toutes les anciennes branches présentent les mêmes failles.
Mots-clés suggérés : Veeam, sauvegardes, authentification, correctifs.
Sources :
Veeam, avis KB4948 pour Backup & Replication, 27 octobre 2026
Veeam, avis KB4957 pour Backup for Microsoft 365, 27 octobre 2026
