Veeam menerbitkan advisori KB4948 pada 27 Oktober 2026 untuk empat kerentanan di produk pencadangan Backup & Replication dan Veeam Agent for Linux. Yang paling serius adalah CVE-2026-108142, celah bypass otorisasi pada layanan CDP Coordinator dengan skor CVSS v4.0 sebesar 9,1. Penyerang tanpa akun bisa memanfaatkannya lewat jaringan. Dalam advisorinya, Veeam tidak menyebut adanya eksploitasi di dunia nyata.
Versi yang terdampak dan versi perbaikan
CVE-2026-108142 menyasar Backup & Replication versi 13.1.1.18 dan build lebih lama di cabang 13.1, serta 13.0.2.29 dan build lebih lama di cabang 13.0. Instalasi Windows dan Veeam Software Appliance sama-sama terdampak. Veeam menyatakan cabang 12.x tidak terpengaruh. Perbaikannya ada di Backup & Replication 13.1.2 (build 13.1.2.57) dan 13.0.3 (build 13.0.3.63).
Tiga celah lain ikut ditutup. CVE-2026-108140 dan CVE-2026-108141 berskor 5,9 dan memungkinkan pengguna berperan Restore Operator, yang juga mengendalikan isi berbagi NAS yang dicadangkan, menulis berkas ke jalur sembarang di server cadangan lewat path traversal. CVE-2026-105477 berskor 7,3 dan merupakan eskalasi hak akses lokal di Veeam Agent for Linux 13.1.1.4 dan build lebih lama, khusus agen yang dikelola oleh Backup & Replication. Perbaikannya ada di Veeam Agent for Linux 13.1.2 (build 13.1.2.11). Versi 13.0.x dan 6.x tidak terdampak.
Mengapa server cadangan jadi sasaran
Server cadangan menyimpan salinan data penting dan kredensial akses ke sistem lain, sehingga penyerang yang menguasainya bisa merusak kemampuan pemulihan sebuah organisasi. Veeam sendiri mengingatkan bahwa setelah tambalan dipublikasikan, penyerang cenderung membongkarnya untuk mencari cara menyerang sistem yang belum diperbarui. Sumber yang kami baca tidak menjelaskan detail teknis eksploitasi, dan kami tidak membahasnya di sini.
Langkah yang perlu Anda ambil
Administrator yang memakai Backup & Replication 13 sebaiknya memeriksa nomor build lewat menu Help, lalu About di konsol, bukan hanya versi utamanya. Naikkan ke 13.1.2 atau 13.0.3 sesuai cabang yang dipakai. Jika ada agen Linux yang dikelola dari server tersebut, perbarui juga agennya ke 13.1.2. Veeam tidak menyediakan solusi sementara dalam advisorinya, jadi pembaruan adalah satu-satunya langkah resmi. Sambil menunggu jadwal pembaruan, batasi akses jaringan ke server cadangan hanya dari segmen yang memang perlu. Pengguna cabang 12.x tidak perlu bertindak untuk celah ini.
Sumber: Veeam KB4948 dan Cyber Security News. Gambar: Cyber Security News.