Veeam merilis pembaruan keamanan untuk perangkat lunak cadangan datanya pada 27 Oktober 2026. Yang paling serius adalah CVE-2026-108142 di Veeam Backup & Replication, celah dengan skor CVSS v4.0 sebesar 9,1 yang memungkinkan penyerang tanpa login melewati pemeriksaan otorisasi. Veeam tidak menyebut adanya eksploitasi di dunia nyata.
Apa yang ditambal
Dalam advisori KB4948, Veeam menjelaskan CVE-2026-108142 sebagai celah yang memungkinkan penyerang tanpa autentikasi melewati otorisasi pada layanan CDP Coordinator. Celah ini menyasar Backup & Replication berbasis Windows dan Veeam Software Appliance. Veeam menyebut laporan datang lewat HackerOne.
Advisori yang sama menutup dua celah path traversal bernomor CVE-2026-108140 dan CVE-2026-108141 (masing-masing CVSS 5,9). Keduanya hanya bisa dipakai pengguna terautentikasi berperan Restore Operator yang juga mengendalikan isi share NAS yang dicadangkan. Ada pula CVE-2026-105477 (CVSS 7,3), celah eskalasi hak akses lokal di Veeam Agent for Linux yang dikelola oleh Backup & Replication.
Lewat advisori KB4951, Veeam juga menambal CVE-2026-107671 (CVSS 8,5) di Veeam ONE. Penyerang yang sudah memegang kredensial Administrator bisa melewati autentikasi multifaktor dengan mematikannya secara global sebelum pemeriksaan selesai.
Versi terdampak dan versi perbaikan
Untuk Backup & Replication, versi 13.1.1.18 dan build 13.1 yang lebih lama, serta 13.0.2.29 dan build 13.0 yang lebih lama, terdampak. Perbaikannya ada di 13.1.2 (build 13.1.2.57) dan 13.0.3 (build 13.0.3.63). Cabang 12.x tidak terdampak. Veeam Agent for Linux 13.1.1.4 dan yang lebih lama perlu naik ke 13.1.2 (build 13.1.2.11). Veeam ONE 13.1.0.7233 dan yang lebih lama perlu naik ke 13.1 P1 (build 13.1.0.7940), sedangkan Veeam ONE 13.0.x dan 12.x tidak terdampak.
Veeam tidak mencantumkan solusi sementara pada advisori tersebut. Perusahaan menyarankan pemasangan pembaruan tanpa menunda, karena penyerang biasanya membedah tambalan yang sudah terbit untuk mengincar sistem yang belum diperbarui.
Langkah yang perlu diambil pembaca
Administrator yang memakai Veeam versi 13 sebaiknya memeriksa nomor build lengkap lewat menu Help, About di konsol, bukan hanya nomor versi utamanya. Setelah itu, naikkan server Backup & Replication ke 13.1.2 atau 13.0.3, lalu perbarui agen Linux dan Veeam ONE bila dipakai. Prioritaskan server yang bisa dijangkau dari jaringan luas atau dari internet, sebab server cadangan menyimpan salinan data yang dibutuhkan saat pemulihan.
Perusahaan yang masih di cabang 12.x tidak terdampak oleh celah-celah ini, tetapi tetap perlu memeriksa daftar versi di advisori resmi Veeam.
Sumber: Veeam KB4948, Veeam KB4951, dan Cyber Security News. Gambar: Cyber Security News.