Veeam publicó el 27 de octubre de 2026 parches para cinco vulnerabilidades en Backup & Replication 13, Veeam Agent for Linux y Veeam ONE, entre ellas una crítica, CVE-2026-108142, con una puntuación CVSS v4.0 de 9,1, que permite a un atacante sin autenticar saltarse la autorización del servicio CDP Coordinator. Las correcciones llegan con Backup & Replication 13.1.2 y 13.0.3, Veeam Agent for Linux 13.1.2 y Veeam ONE 13.1 Patch 1. Las versiones 12.x de Backup & Replication no están afectadas.
Las claves de los parches de Veeam de octubre en 30 segundos
- Veeam corrige cinco CVE en Backup & Replication, Agent for Linux y Veeam ONE, todos reportados a través de HackerOne.
- El más grave, CVE-2026-108142 (9,1), no requiere credenciales y afecta a las ramas 13.0 y 13.1 de Backup & Replication.
- Veeam ONE tiene un fallo de 8,5 que permite a un administrador desactivar la autenticación multifactor antes de completarla.
- Hay que actualizar a las builds 13.1.2.57 o 13.0.3.63, 13.1.2.11 del agente y 13.1.0.7940 de Veeam ONE.
Los avisos se reparten en dos artículos de la base de conocimiento de Veeam. El KB4948 recoge los cuatro fallos resueltos en Backup & Replication 13.1.2, incluido el del agente para Linux, y el KB4951 el de Veeam ONE 13.1 P1. En todos los casos la compañía indica como origen su programa de recompensas en HackerOne, sin identificar a los investigadores.
El contexto explica la urgencia. Los servidores de copia de seguridad son un objetivo habitual de los grupos de ransomware, porque destruir o cifrar los respaldos elimina la vía de recuperación de la víctima, como ya se vio en el ataque a Telemadrid. La propia Veeam advierte en sus boletines de que, una vez publicado un parche, los atacantes suelen intentar analizarlo para explotar las instalaciones que siguen sin actualizar.
CVE-2026-108142: el fallo crítico del servicio CDP Coordinator
La vulnerabilidad más seria permite a un atacante sin autenticar saltarse la autorización en el servicio CDP Coordinator, el componente asociado a la protección continua de datos (CDP, Continuous Data Protection) de Backup & Replication. Veeam la clasifica como crítica, con 9,1 puntos en CVSS v4.0, y la limita a dos tipos de despliegue: Backup & Replication sobre Windows y Veeam Software Appliance.
Están afectadas la build 13.1.1.18 y todas las anteriores de la rama 13.1, y la 13.0.2.29 y todas las anteriores de la rama 13.0. La corrección está en Backup & Replication 13.1.2 (build 13.1.2.57) y 13.0.3 (build 13.0.3.63), así que quien siga en la rama 13.0 puede parchear sin saltar a la 13.1. Según el boletín, las versiones 12.x no están afectadas.
Veeam no detalla qué acciones permite ese salto de autorización ni si el servicio está expuesto por defecto en todas las instalaciones. Tampoco publica medidas de mitigación alternativas, por lo que la recomendación práctica es actualizar y, mientras tanto, mantener los servidores de copia en una red de gestión aislada y sin exposición a Internet. Esta no es la primera vez que Veeam corrige fallos graves en su producto principal: hace un año publicó parches para dos vulnerabilidades de 9,9 puntos en Backup & Replication 12.
Escritura de ficheros desde recursos NAS y escalada en Linux
El mismo KB4948 incluye dos fallos de gravedad media, CVE-2026-108140 y CVE-2026-108141, ambos con 5,9 puntos. Permiten a un usuario autenticado con el rol de Restore Operator, que además controle el contenido de un recurso NAS incluido en las copias, escribir ficheros elegidos por él en cualquier ruta del servidor de copia de seguridad mediante un recorrido de rutas relativas (path traversal). Afectan a las mismas builds que el fallo crítico y se corrigen en las mismas versiones.
Veeam publica para los dos CVE exactamente la misma descripción, puntuación y versiones afectadas, sin explicar qué los diferencia. Es probable que se trate de dos rutas de código distintas con el mismo efecto, pero el boletín no lo aclara. Las condiciones de explotación son exigentes, porque el atacante necesita a la vez credenciales con ese rol y control sobre los datos de origen.
El cuarto fallo del boletín, CVE-2026-105477 (7,3, alta), afecta a Veeam Agent for Linux y permite una escalada local de privilegios. Solo están expuestas las instalaciones del agente gestionadas desde un servidor de Backup & Replication, en concreto la build 13.1.1.4 y las anteriores de la rama 13.1. La corrección llega con Veeam Agent for Linux 13.1.2 (build 13.1.2.11). Según Veeam, las versiones 13.0.x y 6.x del agente no están afectadas.
Veeam ONE permitía desactivar el MFA antes de verificarlo
El KB4951 describe CVE-2026-107671, de gravedad alta y 8,5 puntos, en Veeam ONE, la herramienta de monitorización e informes de la compañía. Un atacante con credenciales válidas de administrador puede saltarse la autenticación multifactor (MFA) desactivándola de forma global antes de completar la verificación. En la práctica, una contraseña de administrador robada bastaría para anular la segunda capa de protección de toda la consola.
Están afectadas Veeam ONE 13.1.0.7233 y todas las builds anteriores de la 13.1. Las ramas 13.0.x y 12.x no lo están. La corrección es Veeam ONE 13.1 Patch 1 (build 13.1.0.7940). Tras aplicarlo conviene revisar que el MFA sigue activo y, si hay dudas sobre la exposición de las cuentas de administrador, cambiar sus contraseñas.
Qué dicen los boletines y qué no
Algunos resúmenes publicados estos días no coinciden del todo con los boletines originales. SecurityOnline, por ejemplo, asocia el KB4948 solo al fallo crítico, cuando ese artículo de Veeam recoge cuatro de los cinco CVE, y en su tabla no indica la versión corregida de CVE-2026-107671, que sí figura en el KB4951. También hay matices en las versiones no afectadas: en Backup & Replication son las 12.x; en el agente para Linux, las 13.0.x y 6.x; y en Veeam ONE, las 13.0.x y 12.x.
Los boletines de Veeam no dicen si alguno de los fallos se está explotando. Hasta la fecha de publicación de este artículo no constan pruebas de concepto públicas ni explotación activa conocida, pero eso puede cambiar rápido: en anteriores ocasiones, vulnerabilidades de Backup & Replication acabaron utilizadas por grupos de ransomware poco después de publicarse los parches. Para los administradores, el orden razonable es empezar por los servidores de Backup & Replication 13, seguir con los agentes Linux gestionados y terminar con Veeam ONE.
Preguntas frecuentes
¿Qué versiones de Veeam Backup & Replication están afectadas?
La 13.1.1.18 y anteriores de la rama 13.1, y la 13.0.2.29 y anteriores de la rama 13.0. Las versiones 12.x no están afectadas.
¿A qué versión hay que actualizar?
A Backup & Replication 13.1.2 (build 13.1.2.57) o 13.0.3 (build 13.0.3.63), Veeam Agent for Linux 13.1.2 (build 13.1.2.11) y Veeam ONE 13.1 P1 (build 13.1.0.7940).
¿Se están explotando estas vulnerabilidades de Veeam?
Veeam no lo indica en sus boletines y no constan pruebas de concepto públicas ni ataques conocidos. Aun así, la compañía recuerda que los atacantes suelen analizar los parches tras su publicación.
¿Qué riesgo tiene el fallo de MFA en Veeam ONE?
CVE-2026-107671 permite a quien tenga credenciales de administrador desactivar el MFA de forma global antes de verificarlo, con lo que una contraseña robada bastaría para acceder. Se corrige en Veeam ONE 13.1 P1.
Fuentes:
