Veeam пусна Veeam Backup & Replication 12.3.2 P4, версия 12.3.2.4934, за да отстрани четири уязвимости в сигурността, включително дефект, който позволява на атакуващите да изпълняват зловредни скриптове в браузъра на удостоверен потребител.
Публикуваното на 6 октомври 2026 г. обновяване също така коригира критична уязвимост за отдалечено изпълнение на код, засягаща сървъра за резервни копия (backup server). Уязвимостите имат CVSS 4.0 оценки от 4.8 до 9.4. Те включват изпълнение на скрипт в браузър, незащитена десериализация, неоторизиран достъп до чувствителни конфигурационни данни и четене на произволни файлове.
Въпреки че слабостите имат различни изисквания, няколко от тях изискват удостоверени профили с ограничени привилегии, което прави правата на достъп важна съображение за засегнатите среди.
Проследявана като CVE-2025-64392, уязвимостта от тип отразена cross-site scripting (XSS) засяга Veeam Backup Enterprise Manager. Тя позволява на атакуващ да изпълни скрипт в браузъра на удостоверен потребител на портала, който отвори специално съставена връзка. Veeam класифицира уязвимостта със средна степен на сериозност и CVSS оценка 4.8.
Атаката изисква потребителско взаимодействие: удостоверен потребител на портала трябва да отвори злонамерената връзка. Това я отличава от директното изпълнение на код върху сървъра за резервни копия.
Бюлетинът за сигурност посочва Enterprise Manager версия 12.3.2.4854 и по-ранни версии 12 като засегнати, докато версия 13 не е засегната.
Veeam Backup and Replication Vulnerability
Най-сериозният проблем, CVE-2025-64393, е с критичен рейтинг и CVSS оценка 9.4. Потребител с ниски привилегии, на когото е назначена ролята Backup Viewer, може да експлоатира незащитена десериализация на ненадеждни данни, получени чрез Mount Service, за да постигне отдалечено изпълнение на код върху Veeam Backup Server.
Тази уязвимост създава значителен риск, тъй като експлоатацията не изисква администраторски профил. Публикуваният от Veeam CVSS вектор също показва, че не се изисква потребителско взаимодействие. Дефектът засяга версия 12.3.2.4854 и по-ранни версии 12.3, като корекцията е включена във версия 12.3.2.4934.
CVE-2026-58069, оценена като висока със CVSS оценка 8.3, позволява на удостоверен Veeam Cloud Connect клиент (tenant) да чете произволни файлове на хоста на доставчика на услуги.
За разлика от трите уязвимости, описани в KB4934, този проблем засяга и определени версии 13 и има отделни корекции за тези издания.
CVE-2026-93026 е със средна степен на сериозност и CVSS оценка 6.1. Удостоверен потребител с роля Backup Viewer може да променя или изтрива мастер ключа на Enterprise Manager и да чете или презаписва съхранените данни за автентификация за обновяване на антивирусния софтуер върху сървъра за резервни копия.
Администраторите могат да проверят инсталираната версия през главното меню на Veeam Backup & Replication Console в Help > About. Засегнатите среди с версия 12 трябва да преминат към версия 12.3.2.4934. Veeam предупреждава, че атакуващите могат да извършат обратен инженеринг на публикуваните корекции за сигурност, за да насочат атаки към системи, които остават без инсталирани корекции.
Предоставените бележки към изданието също така описват отстраняване на проблеми с повторно добавяне на Linux сървъри поради липсващи SSH данни за автентификация, както и неуспешни инсталации или инсталиране на актуализации на Windows Agent върху системи с Windows 7 и Windows Server 2008 R2.