Correctifs Veeam Backup & Replication CVE-2026-108142 : faille critique sans authentification, versions à installer

La réponse courte : le 27 octobre 2026, Veeam a publié Backup & Replication 13.1.2 et 13.0.3, qui corrigent CVE-2026-108142, une faille critique (CVSS v4.0 9.1) dans le service CDP Coordinator. Un attaquant sans identifiant peut contourner les contrôles d’autorisation de ce service. Le même jour, Veeam ONE 13.1 P1 corrige un contournement du MFA. Aucune exploitation n’est signalée à ce jour : c’est précisément le moment de mettre à jour.

Le serveur de sauvegarde est la dernière ligne de défense contre un rançongiciel. Un attaquant qui le contrôle peut supprimer les copies avant de chiffrer le reste, comme nous l’expliquons dans notre guide de reprise après une attaque par rançongiciel. Une faille exploitable sans authentification sur ce serveur se traite donc en priorité.

Ce qui est corrigé

Le bulletin KB4948 de Veeam, publié le 27 octobre 2026, regroupe quatre failles signalées via HackerOne :

• CVE-2026-108142 (critique, 9.1) : contournement d’autorisation sur le service CDP Coordinator, exploitable par un attaquant non authentifié.
• CVE-2026-108140 et CVE-2026-108141 (moyennes, 5.9) : un utilisateur authentifié disposant du rôle Restore Operator, qui contrôle aussi le contenu d’un partage NAS sauvegardé, peut écrire des fichiers à un emplacement arbitraire du serveur de sauvegarde par traversée de répertoire.
• CVE-2026-105477 (importante, 7.3) : élévation de privilèges locale dans Veeam Agent for Linux, uniquement pour les agents gérés par un serveur Backup & Replication.

Le bulletin KB4951, publié le même jour, corrige CVE-2026-107671 (importante, 8.5) dans Veeam ONE : un attaquant disposant d’identifiants administrateur valides peut contourner le MFA en le désactivant globalement avant d’avoir terminé la vérification.

Le maCERT de la DGSSI a relayé le bulletin KB4948 le 28 octobre 2026 (bulletin 70112810/26), avec un niveau de risque et d’impact « important ».

Les versions touchées et corrigées

Produit	Versions touchées	Version corrigée
Veeam Backup & Replication 13.1 (Windows et Veeam Software Appliance)	13.1.1.18 et builds 13.1 antérieurs	13.1.2 (build 13.1.2.57)
Veeam Backup & Replication 13.0 (Windows et Veeam Software Appliance)	13.0.2.29 et builds 13.0 antérieurs	13.0.3 (build 13.0.3.63)
Veeam Backup & Replication 12.x	non touché selon Veeam	sans objet
Veeam Agent for Linux 13.1 (géré par VBR)	13.1.1.4 et builds 13.1 antérieurs	13.1.2 (build 13.1.2.11)
Veeam ONE 13.1	13.1.0.7233 et builds 13.1 antérieurs	13.1 P1 (build 13.1.0.7940)

Veeam précise que les versions 13.0.x et 6.x de Veeam Agent for Linux, ainsi que Veeam ONE 13.0.x et 12.x, ne sont pas touchées par ces failles. Ne pas être touché par ce bulletin ne dispense pas de vérifier que la branche utilisée est encore supportée.

Gravité et exploitation

• Gravité publiée : 9.1 (critique) en CVSS v4.0 pour CVE-2026-108142, selon Veeam et la NVD, vecteur réseau, aucun privilège requis. La NVD retient le classement CWE-636.
• Exploitation : non signalée. Au 30 octobre 2026, CVE-2026-108142 ne figure pas au catalogue KEV de la CISA.
• Lecture : Veeam avertit dans son bulletin que les attaquants tentent généralement de rétro-analyser les correctifs publiés pour viser les installations non mises à jour. Des failles Veeam plus anciennes, comme CVE-2024-40711, figurent déjà au catalogue CISA KEV : ces serveurs intéressent les attaquants.

Les mesures d’attente

Veeam n’indique aucun contournement. En attendant le créneau de mise à jour :

1. Isoler le serveur de sauvegarde : aucun accès depuis internet, flux limités aux machines qui en ont besoin, serveur hors du domaine Active Directory de production quand c’est possible.
2. Restreindre les rôles : revoir qui dispose des rôles Restore Operator et administrateur dans la console, et supprimer les comptes inutilisés. Notre guide de gestion des comptes administrateurs détaille la méthode.
3. Protéger une copie hors d’atteinte : au moins une copie immuable ou hors ligne, selon la règle 3-2-1 immuable.
4. Garder le MFA actif sur la console et sur Veeam ONE, et surveiller toute modification de ses paramètres, comme expliqué dans notre guide de déploiement du MFA.

Les vérifications à faire

• Inventorier chaque serveur Backup & Replication, chaque Veeam ONE et chaque agent Linux, avec son numéro de build exact.
• Comparer au tableau ci-dessus et planifier la mise à jour, en commençant par les serveurs les plus exposés.
• Sauvegarder la configuration de Veeam avant la mise à jour, puis vérifier après coup que les tâches et les copies reprennent normalement.
• Contrôler les journaux : connexions à la console depuis des adresses inhabituelles, tâches supprimées ou modifiées, changements de rôles, désactivation du MFA.
• Tester une restauration après la mise à jour, avec la méthode de test de restauration que nous appliquons.

Notre lecture pour les entreprises au Maroc

Nous voyons souvent des serveurs Veeam installés une fois, puis rarement mis à jour, parfois joints au domaine et accessibles depuis tout le réseau. Pour un rappel des bonnes pratiques, voir nos bonnes pratiques Veeam pour les machines virtuelles et notre page partenaire Veeam.

Comment nous pouvons vous aider

Nous vérifions vos versions, appliquons les correctifs Veeam dans un créneau maîtrisé, isolons le serveur de sauvegarde et testons une restauration. Nous assurons ensuite la supervision 24/7 de vos sauvegardes, avec une prise en charge des incidents critiques en moins de 15 minutes. Découvrez notre offre de sauvegarde et continuité d’activité et notre approche de la cybersécurité des entreprises au Maroc, puis demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.

Sources : bulletin Veeam KB4948, bulletin Veeam KB4951 (Veeam ONE), NVD CVE-2026-108142, catalogue CISA KEV, bulletin maCERT 70112810/26 (DGSSI).