Veeam Backup & Replication 13 (CVE-2026-108142) : une faille critique exploitable sans authentification
Veeam Backup & Replication 13 est affecté par la CVE-2026-108142, une nouvelle faille de sécurité critique située dans le service CDP Coordinator. Quels sont les risques ? Comment se protéger ? Voici ce qu'il faut savoir.
Le 27 octobre 2026, Veeam a publié un nouveau bulletin de sécurité (KB4948) à l'occasion de la sortie de Veeam Backup & Replication 13.1.2. Il référence 4 vulnérabilités : 3 dans Veeam Backup & Replication et 1 dans Veeam Agent pour Linux. Et comme le serveur de sauvegarde Veeam est souvent une cible de choix, il me semble important de vous en parler, notamment car il y a une faille critique dans le lot.
CVE-2026-108142 : le service CDP Coordinator dans le viseur
La faille la plus importante est associée à la référence CVE-2026-108142. "Une vulnérabilité permettant à un attaquant non authentifié de contourner l'autorisation.", peut-on lire dans le bulletin de Veeam. Elle se situe dans le service Veeam CDP Coordinator. Pour rappel, ce service s'exécute sur le serveur de sauvegarde, et il coordonne les tâches de réplication et de transfert de données de la fonction CDP (Continuous Data Protection).
Cette faille associée à un score CVSS v4.0 de 9,1 sur 10 est exploitable à distance, sans privilèges et sans interaction de la part d'un utilisateur. Comme l'explique Veeam, cette faille ne permet pas d'exécuter du code à distance directement, mais de contourner des autorisations. Un utilisateur non authentifié peut donc accéder à des informations auxquelles il ne devrait pas avoir accès.
Cette faille affecte les déploiements Windows de Veeam Backup & Replication ainsi que la Veeam Software Appliance (Linux), dans les versions suivantes :
Branche 13.1 : Veeam Backup & Replication 13.1.1.18 et toutes les builds 13.1 antérieures.
Branche 13.0 : Veeam Backup & Replication 13.0.2.29 et toutes les builds 13.0 antérieures.
La version 12 de Veeam Backup & Replication n'est pas concernée.
Trois autres failles, dont une dans l'agent Linux
Les trois autres vulnérabilités sont moins sévères, mais leurs conditions d'exploitation sont intéressantes :
CVE-2026-108140 et CVE-2026-108141 (score CVSS de 5,9) : un utilisateur authentifié disposant du rôle Restore Operator, et qui contrôle aussi le contenu d'un partage NAS sauvegardé, peut écrire des fichiers de son choix à un emplacement arbitraire du serveur de sauvegarde, via une traversée de répertoire. Les deux conditions doivent être réunies.
CVE-2026-105477 (score CVSS de 7,3) : une élévation de privilèges locale dans Veeam Agent pour Linux. Seuls les agents gérés par une instance Veeam Backup & Replication sont concernés, dans la version 13.1.1.4 et les builds 13.1 antérieures. Les versions 13.0.x et 6.x ne sont pas affectées.
Quelle version installer ?
D'après les notes de version de Veeam Backup & Replication 13, les correctifs sont intégrés dans les builds suivantes :
Veeam Backup & Replication 13.1.2 (build 13.1.2.57) : publiée le 27 octobre 2026.
Veeam Backup & Replication 13.0.3 (build 13.0.3.63) : cette build date du 25 août 2026.
Veeam Agent pour Linux 13.1.2 (build 13.1.2.11) : pour corriger la CVE-2026-105477.
Le bulletin de sécurité ne fait état d'aucune exploitation active à ce jour. Mais Veeam rappelle que les attaquants analysent les correctifs publiés pour cibler les serveurs non patchés.
Ajouter IT-Connect à mes
sources préférées
Cofondateur d'IT-Connect et Microsoft MVP "Cloud and Datacenter Management". Mon obsession depuis près de 15 ans ? Rendre l'administration système et la cybersécurité accessibles, que vous soyez junior ou confirmé. Plus qu'un métier, l'IT est pour moi une véritable passion. J’accompagne au quotidien les sysadmins et les professionnels de l’IT dans leur montée en compétences et leur veille technique.