Veeam CVE-2026-108142: исправлена критическая уязвимость в Backup & Replication

27 октября 2026 года компания Veeam опубликовала бюллетень безопасности KB4948, в котором сообщила об исправлении критической уязвимости CVE-2026-108142 в продукте Veeam Backup & Replication версии 13. Уязвимость позволяет неаутентифицированному удалённому злоумышленнику обойти авторизацию в сервисе CDP Coordinator Service. Оценка CVSS v4.0 составила 9,1 балла.

Технические детали уязвимости CVE-2026-108142

Уязвимость относится к классу CWE-636 и описывается как недостаточно надёжная проверка авторизации. Атакующий может получить доступ к функциям сервиса CDP Coordinator Service без предоставления учётных данных. Это приводит к возможности изменения или удаления данных, а также нарушения доступности компонентов. В advisory указано, что проблема затрагивает Windows-установки и Veeam Software Appliance.

Одновременно в том же бюллетене исправлены две уязвимости средней степени тяжести CVE-2026-108140 и CVE-2026-108141, связанные с обходом пути, и высокая уязвимость CVE-2026-105477 в Veeam Agent for Linux, позволяющая локальное повышение привилегий. Все исправления вошли в сборки 13.1.2.57 и 13.0.3.63.

Уязвимость была обнаружена через платформу HackerOne. На момент публикации 28–29 октября 2026 года подтверждённых случаев эксплуатации в реальных условиях или публичных proof-of-concept не зафиксировано. Veeam отмечает риск обратной разработки публичного исправления для систем без обновления.

Затронутые версии и порядок обновления

Под угрозой находятся все сборки Veeam Backup & Replication 13.1 до версии 13.1.1.18 включительно и все сборки 13.0 до 13.0.2.29 включительно. Версии 12.x и более ранние не подвержены проблеме. Исправления выпущены в Veeam Backup & Replication 13.1.2 (build 13.1.2.57) и 13.0.3 (build 13.0.3.63) 27 октября 2026 года.

Обновления доступны через Veeam Updater и официальные установочные файлы. Организациям рекомендуется проверить текущие номера сборок и применить патчи в соответствии с внутренними процедурами обновления. В advisory содержится информация о двух дополнительных уязвимостях, устранённых одновременно.

Продукт Veeam Backup & Replication используется для резервного копирования и репликации виртуальных машин, физических серверов и облачных ресурсов. Версия 13.0 и 13.1 включают компонент CDP Coordinator Service, обеспечивающий непрерывную защиту данных. Изменения в механизме авторизации в этих версиях привели к появлению описанной уязвимости.

Контекст и дальнейшие действия рынка

Публикация исправления произошла через два дня после обнаружения и подготовки патча. Вендор распространил информацию через официальный сайт и каналы безопасности. По состоянию на 29 октября 2026 года в открытых источниках отсутствуют сообщения о специфических инцидентах в России или официальных заявлениях регуляторов по этой уязвимости.

Ранее Veeam уже публиковала исправления для Backup & Replication, связанные с проблемами авторизации и управления доступом. Текущий случай затрагивает только ветку 13.x, что сужает круг организаций, которым необходимо обновление. Мониторинг отчётов об эксплуатации продолжается со стороны исследовательских компаний и CERT.

Рынок решений для резервного копирования в России продолжает использовать продукты Veeam наряду с отечественными разработками. Появление критической уязвимости в актуальной версии подчёркивает необходимость регулярной проверки обновлений от поставщиков инфраструктурного ПО.