Veeam hat am 6. Oktober 2026 mit dem Sicherheitsupdate 12.3.2 P4 drei Schwachstellen in Veeam Backup & Replication geschlossen. Eine davon wird mit einem CVSS-Score von 9.4 als kritisch eingestuft und ermöglicht die Ausführung von Schadcode auf dem Backup-Server (Remote Code Execution, RCE). Betroffen sind Installationen der Version 12 – unabhängig davon, ob der Backup-Server Mitglied einer Active-Directory-Domäne ist.
Übersicht der Schwachstellen
Die veröffentlichte Sicherheitsmeldung KB4934 umfasst insgesamt drei Schwachstellen mit unterschiedlichen Auswirkungen:
|
CVE |
CVSS |
Beschreibung |
|
CVE-2025-64393 |
9.4 |
Remote Code Execution (RCE) über den Mount Service |
|
CVE-2026-93026 |
6.1 |
Manipulation des Enterprise Manager Master Keys und gespeicherter Antivirus-Zugangsdaten |
|
CVE-2025-64392 |
4.8 |
Cross-Site Scripting (XSS) im Veeam Backup Enterprise Manager |
Besonders schwerwiegend ist CVE-2025-64393. Ein Angreifer mit der Rolle «Backup Viewer» kann durch eine unsichere Verarbeitung von Daten über den Veeam Mount Service beliebigen Schadcode auf dem Backup-Server ausführen. Da diese Rolle nur eingeschränkte Berechtigungen besitzt, stellt die Schwachstelle ein erhebliches Sicherheitsrisiko dar.
Die zweite Schwachstelle, CVE-2026-93026, ermöglicht einem authentifizierten Benutzer mit der Rolle «Backup Viewer», den Enterprise Manager Master Key zu verändern oder zu löschen. Zusätzlich können gespeicherte Zugangsdaten für Antivirus-Updates ausgelesen oder überschrieben werden.
Bei CVE-2025-64392 handelt es sich um eine Cross-Site-Scripting-Schwachstelle im Veeam Backup Enterprise Manager. Öffnet ein angemeldeter Benutzer einen speziell präparierten Link, kann ein Angreifer Skriptcode in dessen Browser ausführen.
Betroffene Versionen
Die Schwachstellen betreffen ausschliesslich Veeam Backup & Replication Version 12.
|
Produkt |
Betroffene Builds |
Fix-Version |
|
Veeam Backup & Replication v12 |
12.3.2.4854 und alle früheren v12-Builds |
12.3.2.4934 (P4) |
Wichtig: Im Gegensatz zu bestimmten früheren Veeam-Schwachstellen ist die Domänenmitgliedschaft des Backup-Servers keine Voraussetzung für die hier beschriebenen Sicherheitslücken. Auch Server, die in einer Workgroup betrieben werden, müssen daher überprüft und gegebenenfalls aktualisiert werden.
Empfehlung
Wir empfehlen, das Sicherheitsupdate zeitnah einzuspielen, um die beschriebenen Sicherheitslücken zu schliessen.
Da der reguläre Support für Version 12 am 28. Februar 2027 endet, empfehlen wir zudem, frühzeitig eine Migration auf Version 13 zu prüfen.
Weitere Informationen:
Gerne stehen wir Ihnen für weitere Fragen persönlich zur Verfügung. Sie erreichen uns direkt auf unserem Kundenportal oder unter marketing@bithawk.ch oder auf der Nummer 058 226 01 01.
Cybersecurity - so wichtig wie nie!
Sind Sie ein Mitglied der Geschäftsleitung oder haben Sie einen Sitz im Verwaltungsrat? Tragen Sie Verantwortung für die Unternehmens-IT oder arbeiten Sie als Spezialist, der sich um die IT-Systeme kümmert?
Für all diese unterschiedlichen Aufgabenbereiche bietet die BitHawk AG umfassende Services an. Wir beraten Sie auf der strategischen sowie operativen Ebene und bieten umfangreiche technische Lösungen an.
Die Gefahren rund um die Cybersicherheit sind für jedes Unternehmen eine Herausforderung. Alle müssen sich in der heutigen Zeit mit dem Thema IT-Sicherheit befassen. Der Schutz der Informationstechnologie ist jedoch nicht nur eine rein technische Disziplin, sondern sollte vor allem als Prozess gedacht werden. BitHawk unterstützt Sie hier gerne mit einer vielfältigen Palette an Services und Beratungen. Dabei orientierten wir uns an etablierten Standards – etwa am IT-Grundschutz des deutschen Bundesamts für Sicherheit in der Informationstechnik (BSI) und am Cyber Security Framework des National Institute of Standards and Technology (NIST).
Wollen auch Sie den Cybersecurity-Reifegrad in Ihrer Organisation erhöhen? Dann sprechen Sie mit uns oder schauen Sie rein.
Weitere Themen auf unserem Blog