A Veeam lançou atualizações de segurança para corrigir uma vulnerabilidade crítica de contorno de autorização no Backup & Replication. A falha, identificada como CVE-2026-108142 (identificador padronizado de vulnerabilidades conhecidas), permite que um atacante não autenticado contorne a autorização no CDP Coordinator Service (serviço coordenador de proteção contínua de dados).
A vulnerabilidade tem pontuação 9.1 no CVSS v4.0 (Sistema de Pontuação de Vulnerabilidades Comuns, versão 4.0) e afeta tanto as implantações no Windows quanto o Veeam Software Appliance (equipamento virtual de software da Veeam).
A empresa divulgou este problema em um comunicado de segurança (KB4948, base de conhecimento), publicado em 27 de outubro de 2026. O comunicado também detalha duas vulnerabilidades de travessia de caminho (path traversal) de severidade média e uma falha de escalonamento local de privilégios de alta severidade que afeta instalações gerenciadas do Veeam Agent para Linux.
Falha no Veeam Backup & Replication
A CVE-2026-108142 afeta as versões 13.1.1.18 e anteriores do Veeam Backup & Replication dentro do ramo 13.1, bem como a versão 13.0.2.29 e anteriores do ramo 13.0. O comunicado diz que gerações mais antigas do produto, como a versão 12.x, não são afetadas.
Esta vulnerabilidade é diferente das demais divulgadas porque pode ser explorada sem uma conta autenticada. Embora a descrição da Veeam especifique um contorno de autorização, ela não indica explicitamente que o problema permite execução remota de código, exclusão de backups ou comprometimento total do servidor. As notas de lançamento também não trazem uma sequência detalhada de exploração nem identificam um ponto de acesso específico do serviço afetado.
A Veeam definiu as versões 13.1.2.57 e 13.0.3.63 do Backup & Replication como as builds corrigidas para essa falha de contorno de autorização. Os administradores devem observar os requisitos de correção específicos de cada ramo e não presumir que todas as implantações da versão 13 exigem o mesmo pacote de atualização.
As atualizações também corrigem a CVE-2026-108140 e a CVE-2026-108141, ambas classificadas com severidade média e pontuação 5.9 no CVSS v4.0.
Essas vulnerabilidades exigem um usuário autenticado com a função Restore Operator que possa controlar o conteúdo de um compartilhamento de armazenamento conectado à rede (NAS, sigla de network-attached storage) incluído nos backups. Nessas condições, a travessia de caminho relativa poderia permitir que um atacante gravasse arquivos controlados em uma localização arbitrária do servidor de backup.
Esses pré-requisitos diferenciam essas falhas da vulnerabilidade de CDP sem autenticação. A Veeam oferece descrições públicas semelhantes para as duas, mas não esclarece as diferenças em suas implementações subjacentes. Ambas recebem correções nas mesmas builds do Backup & Replication.
A CVE-2026-105477 trata de uma falha de escalonamento local de privilégios no Veeam Agent para Linux, classificada como de alta severidade, com pontuação 7.3 no CVSS v4.0. Somente as instalações gerenciadas pelo Backup & Replication são afetadas.
O comunicado especifica que as versões 13.1.1.4 e anteriores do Agent no ramo 13.1 são vulneráveis, enquanto as versões 13.0.x e 6.x estão excluídas. A correção é a versão 13.1.2.11 do Agent, incluída na versão 13.1.2 do Backup & Replication.
Nas implantações no Windows que forem atualizadas para a versão 13.1.2, a Veeam exige a imagem ISO completa de instalação ou o atualizador integrado. Não há arquivo ISO de patch independente nem arquivo ZIP disponível, devido a mudanças em vários componentes de terceiros. As atualizações dos appliances podem ser feitas internamente, e os administradores devem esperar uma possível reinicialização.
Os administradores podem verificar a versão instalada do servidor de backup pelo menu Help > About do console antes de escolher o caminho de correção adequado.
