Múltiples vulnerabilidades en productos de Veeam

Fecha de publicación 29/10/2026

Identificador

INCIBE-2026-805

Importancia

5 - Crítica

Recursos Afectados

Veeam Backup & Replication para Windows y Veeam Software Appliance: 13.1.1.18 y anteriores de la rama 13.1; 13.0.2.29 y anteriores de la rama 13.0.
Veeam Agent for Linux: 13.1.1.4 y anteriores de la rama 13.1, únicamente en instalaciones gestionadas por Veeam Backup & Replication.

Las versiones anteriores de Backup & Replication, como 12.x, y las ramas 13.0.x y 6.x de Agent for Linux no están afectadas.

Descripción

Veeam ha publicado actualizaciones para corregir 4 vulnerabilidades: 1 de severidad alta crítica, 1 alta y 2 medias, comunicadas a través de HackerOne. Podrían permitir el acceso sin autorización, la modificación de archivos del servidor de copias de seguridad o la obtención de mayores permisos.

Solución

Instalar las versiones corregidas correspondientes:

Veeam Backup & Replication 13.1.2 (13.1.2.57) o 13.0.3 (13.0.3.63), según la rama instalada.
Veeam Agent for Linux 13.1.2 (13.1.2.11).

Detalle

CVE-2026-108142: un atacante sin una cuenta ni contraseña podría saltarse las restricciones de acceso a CDP Coordinator, el servicio que coordina la protección continua de los datos. Esto le permitiría utilizar funciones que deberían estar reservadas a usuarios autorizados.
CVE-2026-108140 y CVE-2026-108141: un usuario con permisos para restaurar copias de seguridad podría escribir archivos en ubicaciones no autorizadas del servidor de copias, con el riesgo de alterar su contenido. Para aprovechar estos fallos, también tendría que controlar los archivos de una carpeta compartida de almacenamiento en red (NAS) incluida en las copias de seguridad.
CVE-2026-105477: un usuario que ya tenga acceso a un equipo Linux con el agente de Veeam afectado podría obtener permisos superiores a los asignados y realizar acciones que normalmente tendría restringidas. Solo afecta a agentes gestionados desde Veeam Backup & Replication.

CVE