Критична уязвимост за локална ескалация на привилегии във Veeam Agent for Microsoft Windows привлече вниманието, след като стана публично достъпен експлойт код за доказване на концепцията (proof-of-concept).

Уязвимостта, регистрирана като CVE-2026-32996, може да позволи на локален потребител с ниски привилегии да изпълнява команди с права NT AUTHORITY\SYSTEM на засегнатите Windows устройства.

Технически подробности и код за експлоатация бяха публикувани на 14 септември 2026 г., увеличавайки риска автори на заплахи да включат проблема във вериги от атаки след първоначално компрометиране. Уязвимостта засяга Veeam Agent for Microsoft Windows версия 13.0.1.2067 и по-ранни версии от серия 13.

Проблемът съществува в услугата Veeam Endpoint Backup, която управлява привилегированата клиентска активност чрез локален gRPC именован канал (named pipe), намиращ се на \\.\pipe\Veeam\VAW\ServiceConnectionPipe.

Уязвимостта във Veeam Agent се експлоатира активно

Изследователят в GitHub suce0155 установи, че услугата съхранява администраторска самоличност с повишени права спрямо контролиран от клиента идентификатор на сесия (UID), който не е сигурно свързан със заявяващия потребител или първоначалната връзка през канала.

Това означава, че локален атакуващ може да използва повторно идентификатор на сесия с повишени права и да накара услугата на Veeam да изпълни команда с права на ниво SYSTEM. Съобщава се, че необходимите идентификатори на сесии могат да бъдат възстановени от лог файла Svc.VeeamEndpointBackup.log в C:\ProgramData\Veeam\Endpoint\.

Тъй като стандартните локални потребители могат да четат този лог файл, атакуващ с ограничен достъп може да потърси в него валиден UID и след това да предаде този идентификатор на открития интерфейс на услугата.

Публично достъпният експлойт код демонстрира проблема, като намира валиден GUID в лог файла на Veeam и изпълнява Windows командата whoami. Изходният резултат от командата се записва във файл, потвърждавайки, че процесът се изпълнява от името на акаунта NT AUTHORITY\SYSTEM.

Въпреки че експлоатирането изисква локален достъп, киберпрестъпниците често получават достъп с ниски права чрез фишинг, откраднати идентификационни данни, инфекции със зловреден софтуер или компрометирани акаунти за отдалечен достъп. Привилегиите SYSTEM представляват най-високото ниво на права в повечето системи с Windows.

Успешен атакуващ би могъл да използва този достъп, за да изключи инструменти за сигурност, да получи достъп до защитени данни, да промени системни конфигурации, да си осигури персистентност, да открадне пароли и данни за достъп или да се придвижва хоризонтално в корпоративната среда.

Veeam отстрани уязвимостта във Veeam Agent for Microsoft Windows версия 13.0.3.1220. Организациите трябва да обновят Veeam Backup & Replication до версия 13.0.2.29 или по-нова, която актуализира Windows агента до коригираната версия.

Екипите по сигурност трябва да идентифицират системите, работещи с Veeam Agent версия 13.0.1.2067 или по-стара, и да дадат приоритет на отстраняването на уязвимостта при споделени работни станции, сървъри, администраторски крайни устройства и устройства, използвани от оператори на архиви или персонал на поддръжката. Тези системи представляват по-голям риск, тъй като множество потребители или привилегировани работни процеси правят локалния достъп по-вероятен.

Няма надеждно временно решение, поддържано от производителя, за CVE-2026-32996. Основната мярка за ограничаване на риска е обновяването на засегнатите инсталации на Veeam Agent до версия с инсталирани корекции за сигурност.

Докато приключи инсталирането на корекциите за сигурност, организациите трябва да намалят риска, като ограничат интерактивния достъп до засегнатите крайни устройства, прегледат разрешенията за локални акаунти, ограничат правата на операторите на архиви и администраторите и наблюдават за съмнителна активност, свързана с услугата Veeam Endpoint Backup, нейните лог файлове и неочаквани дъщерни процеси, стартирани с привилегии SYSTEM.