Veeam corrige un bypass sin autenticación en Backup & Replication 13.x
KB4948 corrige CVE-2026-108142 en las ramas 13.0 y 13.1. Veeam detalla los builds vulnerables y los dos builds corregidos.
Veeam publicó el 27 de octubre la KB4948 con correcciones para Veeam Backup & Replication 13.x, incluida CVE-2026-108142, un bypass de autorización sin autenticación en el CDP Coordinator Service. El Continuous Data Protection (CDP) usa ese servicio para coordinar tareas de protección y componentes de replicación; por eso el defecto está en el plano de administración de la recuperación, no en un agente aislado de una copia. La corrección está disponible en builds concretas de las ramas 13.0 y 13.1.
Veeam califica el fallo como crítico y publica CVSS v4.0 9.1, con vector de red, sin privilegios previos ni interacción de usuario, pero con el requisito de ataque marcado como presente (AT:P). Ese último valor añade una condición relevante: el aviso resumido no explica cuál es el requisito en cada instalación. La combinación “sin autenticación” no autoriza a concluir que cualquier servidor expuesto sea explotable en cualquier configuración, ni la KB describe el fallo como ejecución remota de código.
-SecureCrew dice: “sin login” es un dato serio; convertirlo en “sin condiciones” cuando el vector dice otra cosa ya es una forma creativa de perder precisión.-
La KB sitúa CVE-2026-108142 en instalaciones Windows-based de Backup & Replication y en Veeam Software Appliance. Afecta a 13.1.1.18 y builds 13.1 anteriores, además de 13.0.2.29 y builds 13.0 anteriores; Veeam especifica que versiones 12.x no están afectadas. Las correcciones son 13.1.2 build 13.1.2.57 y 13.0.3 build 13.0.3.63. El registro público de CVE expresa el mismo rango de forma semántica: ramas 13.1 anteriores a 13.1.2 y 13.0 anteriores a 13.0.3.
La importancia operativa viene de dónde vive el componente. El CDP Coordinator se ejecuta en el servidor de backup y coordina tareas con la infraestructura virtual, incluido VMware vCenter en los escenarios documentados por Veeam. Un bypass de autorización en ese punto merece atención porque ese servidor organiza funciones de continuidad y replicación. La descripción del CVE habla de saltarse autorización; no afirma que se hayan leído repositorios de backup, borrado puntos de restauración o comprometido clientes.
La misma KB recoge otras correcciones que conviene no mezclar con la vulnerabilidad principal. CVE-2026-108140 y CVE-2026-108141 son fallos de traversal en los que se necesita un usuario autenticado con rol Restore Operator y control del contenido de una compartición NAS respaldada; CVE-2026-105477 afecta a escalada local en Veeam Agent for Linux administrado por Backup & Replication. Esta última se corrige en Agent 13.1.2 build 13.1.2.11 y no afecta a las ramas 13.0.x ni 6.x. Cada fila tiene requisitos y builds propios, así que no hay un único “parche Veeam” que cubra todos los escenarios.
Qué hacer con la ventana de parcheado
El primer paso es identificar si existen instalaciones de VBR 13.0 o 13.1, incluyendo appliances, y comparar el build que realmente ejecuta cada servidor con los dos builds corregidos. No basta con que la actualización esté aprobada o descargada: el dato útil es la versión que corre en el plano de backup. Aplica la guía oficial de Veeam para la plataforma afectada y programa reinicios o ventanas de servicio de acuerdo con las dependencias de protección de cada organización.
-SecureCrew dice: los servidores de backup suelen tener más privilegios que protagonismo; cuando aparece una alerta, ese reparto conviene revisarlo.-
Veeam advierte que, después de publicarse el fallo y su parche, un atacante podría intentar reconstruir la vulnerabilidad a partir de la diferencia de código. Es una advertencia prospectiva del fabricante, no evidencia de que el bypass esté siendo explotado. El aviso no proporciona indicadores de compromiso ni recomienda un workaround alternativo; si una instalación no puede actualizarse ahora, no conviene improvisar cambios sobre el servicio CDP sin instrucciones oficiales. Registra la excepción, limita el acceso de red al servidor conforme a la arquitectura soportada y prioriza la actualización.
Un parche en el servidor de backup tampoco demuestra que un entorno haya sufrido un incidente ni descarta actividad previa. La evidencia pública disponible se limita al defecto, los rangos de versión y las correcciones. Si los registros locales muestran acciones inesperadas o cambios en políticas de CDP, trátalos como una investigación separada y conserva evidencia antes de alterar el sistema. La prioridad está justificada por la función del componente y el bypass de autorización, no por una atribución o explotación que Veeam no haya comunicado.
Diccionario de la Crew
CDP — Protección continua de datos; en Veeam coordina tareas que replican cambios para disponer de puntos de recuperación frecuentes.
CVSS — Sistema común para puntuar severidad y características de una vulnerabilidad.
AT:P — En CVSS v4.0, indica que se requiere una condición de ataque adicional, aunque el resumen público no concreta cuál para cada despliegue.
