Kurze Information für Nutzer und Administratoren, die auf Veeam Backup & Replication setzen. Veeam hat zum 9. Juni 2026 Backup & Replication Version 12.3.2.4854 freigegeben. Dieses Update schließt die kritische RCE-Schwachstelle CVE-2026-44963 im Backup-Server durch einen authentifizierten Domänenbenutzer.
VEEAM Backup & Replication 12.3.2.4854
Ich bin durch zwei Blog-Leser darauf hingewiesen worden (danke dafür), dass es in Veeam Backup & Replication eine kritische RCE-Schwachstelle CVE-2026-44963 im Backup-Server gibt. Veeam hat zum 9. Juni 2026 im Dokument Vulnerability Resolved in Veeam Backup & Replication 12.3.2.4854 auf die Schwachstelle hingewiesen.
CVE-2026-44963 (CVSS 3.1 Score 9.4, Kritisch); Eine Sicherheitslücke, die es einem authentifizierten Domänenbenutzer ermöglicht, auf dem Backup-Server Code aus der Ferne auszuführen (RCE).
Diese Sicherheitslücke betrifft Veeam Backup & Replication 12.3.2.4465 sowie alle früheren Versionen der Version 12. Versionen der Version 13.x von Veeam Backup & Replication sind nicht betroffen, da ab Version 13 architektonische Änderungen vorgenommen wurden. Diese Sicherheitslücken wurden ab Veeam Backup & Replication 12.3.2.4854 behoben.
MVP: 2013 – 2016
Wir haben das Update auf die 12.3.2.4854 gerade über die Patch ISO installiert. Soweit alles sauber durchgelaufen. Am besten auch einen Rescan ggf. vorhandener physikalischer Hosts durchführen. Bei uns wurde auf diesen der Transportdienst aktualisiert. Ein Reboot war nicht erforderlich.
Wer seinen Veeam B&R entsprechend der Herstellerempfehlung nicht in der Domäne hat, ist nicht betroffen!
"[…] einem authentifizierten Domänenbenutzer ermöglicht, auf dem Backup-Server […]"
Finde den Fehler!
Wo ist der Fehler?
Ein authentifizierter Domänenbenutzer hat keinen Code auf dem Backupserver ausführen zu können, ja, er sollte nicht einmal Zugriffsrechte auf dem Backupserver haben.
Diese Berechtigungen sollten nur Administratoren haben.
Und selbst wenn ein authentifizierter Domänenbenutzer diese Rechte nicht hat, so bekommt er die durch die Sicherheitslücke.
Der Fehler ist, dass der Backup-Server nicht an die Domäne gekoppelt sein sollte. Zumindest bei KMU wird man mit lokalen Konten auf den Backup-Servern arbeiten.
In sehr großen Umgebungen mag es eigene Management-Domänen geben, welche dann aber nichts mit den produktiven Domänen zu tun haben dürfen. Ansonsten sind bei einem kompromittierten AD auch die Backups futsch.
Wir patchen aber trotzdem, auch wenn die Lücke vielleicht auf Grund lokaler Konten nicht ausgenutzt werden kann.