CVE-2026-21666

RCE dla uwierzytelnionego użytkownika domenowego w Veeam Backup & Replication

CVSS 9.9v3.1pub. 2026-03-12upd. 2026-03-31

Podatność w Veeam Backup & Replication umożliwia uwierzytelnionemu użytkownikowi domenowemu zdalne wykonanie kodu (RCE) na serwerze kopii zapasowych. Krytyczny poziom CVSS 9.9 oznacza, że skutki kompromitacji mogą objąć pełną kontrolę nad infrastrukturą backupu.

▸ Pokaż oryginał (EN)

A vulnerability allowing an authenticated domain user to perform remote code execution (RCE) on the Backup Server.

🤖 Analiza AI

Jak działa

Błąd sklasyfikowany jako CWE-284 (Improper Access Control) wskazuje na nieprawidłową kontrolę dostępu, która pozwala atakującemu — posiadającemu jedynie poświadczenia zwykłego użytkownika domenowego — na wykonanie dowolnego kodu na Backup Serverze. Atak jest możliwy zdalnie przez sieć bez konieczności interakcji po stronie ofiary ani posiadania uprawnień administracyjnych. Wektor sieciowy (AV:N) i brak wymogu złożonej konfiguracji (AC:L) sprawiają, że podatność jest łatwa do wykorzystania.

Skutki

Atakujący może przejąć pełną kontrolę nad Backup Serverem, uzyskując poufność, integralność i dostępność przechowywanych danych (ocena C:H/I:H/A:H), co w praktyce oznacza możliwość usunięcia lub modyfikacji kopii zapasowych, a także dalszego lateral movement w sieci organizacji.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami: https://www.veeam.com/kb4830. Dodatkowo, do czasu wdrożenia poprawki, zaleca się ograniczenie dostępu sieciowego do Backup Servera wyłącznie do zaufanych hostów oraz monitorowanie nieautoryzowanych prób uwierzytelnienia.