Kurz gesagt
Veeam hat am 27. Oktober 2026 Lücken in Backup & Replication, Backup for Microsoft 365 und Veeam ONE geschlossen, zwei davon kritisch. Die schwerste lässt sich ohne Anmeldung über das Netz ausnutzen. Weil Angreifer Backup-Server gezielt ausschalten, bevor sie erpressen, gehört das Update ganz nach oben.
Was ist passiert?
In Backup & Replication Version 13 erlaubt die schwerste Lücke (CVE-2026-108142, Bewertung 9,1 von 10) einem Angreifer ohne Anmeldung, die Autorisierung eines Dienstes zu umgehen. Betroffen sind die Windows-Version und die Linux-basierte Veeam Software Appliance. Version 12 ist laut Veeam nicht betroffen.
In Backup for Microsoft 365 schließt Veeam unter anderem eine kritische SQL-Injection (CVE-2026-106076, Bewertung 9,0) und eine Lücke, über die sich die Anmeldung an der REST-Schnittstelle mit einem gefälschten Token umgehen ließ.
Im Überwachungswerkzeug Veeam ONE konnte ein Angreifer mit gültigem Administrator-Passwort die Mehrfaktor-Anmeldung global abschalten (CVE-2026-107671).
Ob die Lücken bereits ausgenutzt werden, sagt Veeam nicht. Am 29. Oktober stand keine davon im CISA-Katalog der ausgenutzten Schwachstellen. Veeam warnt, dass Angreifer die Updates vermutlich auswerten werden.
Was bedeutet das?
Backup-Server sind ein bevorzugtes Ziel. Die US-Behörde CISA führt vier ältere Lücken in Backup & Replication als von Ransomware-Gruppen genutzt. Wer zuerst die Sicherung ausschaltet, kann danach erpressen.
Die Veeam-ONE-Lücke zeigt eine zweite Lehre: Mehrfaktor-Anmeldung schützt nur, solange sie sich nicht abschalten lässt. Starke, einzigartige Administrator-Passwörter bleiben Pflicht.
Für Backup for Microsoft 365 gibt es die Korrektur der kritischen Lücke schon seit dem 14. September (Version 8.6). Wer seitdem nicht aktualisiert hat, ist seit Wochen angreifbar.
Was Sie jetzt tun können
- Version prüfen: Sicher sind Backup & Replication 13.1.2 (Build 13.1.2.57) und 13.0.3 (Build 13.0.3.63), Backup for Microsoft 365 8.6 Patch 1 (Build 8.6.0.5011) und Veeam ONE 13.1 P1 (Build 13.1.0.7940).
- Ohne Verzögerung aktualisieren: Veeam rät, die Updates sofort einzuspielen. Nicht mehr unterstützte Versionen gelten laut Veeam als wahrscheinlich betroffen.
- Backup-Server aus der Domäne nehmen: Veeam empfiehlt in seinem Handbuch, den Backup-Server nicht in die Produktivdomäne aufzunehmen. Für kleine und mittlere Umgebungen nennt Veeam eine separate Arbeitsgruppe.
- Eine Kopie unveränderlich halten: Mindestens eine Sicherung unveränderlich (immutable) oder offline vorhalten, wie Veeam es empfiehlt. Und regelmäßig testen, ob die Wiederherstellung funktioniert.
- Admin-Zugänge schützen: Mehrfaktor-Anmeldung für die Konsole aktivieren und Administrator-Passwörter einzigartig halten.
Häufige Fragen
Ist Veeam Backup & Replication 12 betroffen?
Laut Veeam ist Version 12.x von diesen Lücken nicht betroffen. Prüfen Sie trotzdem, ob Ihre Version noch unterstützt wird.
Werden die Lücken schon ausgenutzt?
Veeam äußert sich dazu nicht, und am 29. Oktober stand keine davon im CISA-Katalog der ausgenutzten Schwachstellen. Ältere Veeam-Lücken wurden aber von Ransomware-Gruppen genutzt.
Quellen
- Veeam: KB4948: Vulnerabilities in Veeam Backup & Replication and Veeam Agent for Linux (27. Oktober 2026)
- Veeam: KB4957: Vulnerabilities in Veeam Backup for Microsoft 365 (27. Oktober 2026)
- Veeam: KB4951: Vulnerability in Veeam ONE (27. Oktober 2026)
- Veeam: Security & Compliance Analyzer (Best Practices)
- CISA: Known Exploited Vulnerabilities Catalog
Stand: 30. Oktober 2026. Diese Einordnung ersetzt keine Rechtsberatung und keine Prüfung im Einzelfall.
Fragen zur Einordnung oder ein Thema für Ihren Vortrag?
Für fachlichen Austausch, Vorträge und Workshops zu KI, IT und Sicherheit erreichen Sie mich direkt.