Veeam Backup & Replication tiene un fallo crítico que deja pasar a un atacante sin credenciales. La vulnerabilidad quedó registrada como CVE-2026-108142, con una puntuación de 9,1 sobre 10 en la escala CVSS v4.0, y afecta al servicio CDP Coordinator, la pieza que coordina la protección continua de datos en el servidor de respaldo.
Veeam publicó la corrección el 27 de octubre en su aviso KB4948. CybersecurityNews recogió el aviso el mismo día con el dato central destacado: un atacante sin autenticación puede burlar la autorización de ese servicio. Dicho en claro, la puerta que revisa quién puede pedir acciones al coordinador de CDP acepta llamadas de alguien que nunca demostró su identidad.
Un atacante sin credenciales frente al servidor de respaldo
El servicio CDP Coordinator organiza la replicación y la transferencia de datos de la protección continua, la función que copia los cambios de una máquina virtual casi en tiempo real para poder volver a un punto muy reciente tras una caída. Ese coordinador corre en el propio servidor de respaldo, con permisos amplios sobre las tareas de copia y recuperación.
El vector publicado por Veeam marca el ataque como posible por red, con complejidad baja, sin privilegios previos y sin que ningún usuario tenga que hacer clic en nada. La letra pequeña importa: el vector incluye requisitos de ataque presentes, una condición del entorno que debe cumplirse para que la explotación funcione. Ni con ese matiz baja la gravedad, porque el impacto en integridad y en disponibilidad quedó marcado como alto, tanto en el sistema vulnerable como en los sistemas conectados detrás de él.
La confidencialidad directa aparece sin impacto en el vector. Traducido: el fallo no se presenta como una vía para leer datos en silencio, sino como una vía para alterar o tumbar el entorno de respaldo. Para un servidor cuya tarea entera es guardar la salida de emergencia de una empresa, perder integridad y disponibilidad es perder la salida misma.
Las versiones afectadas están acotadas con precisión de compilación. En la rama 13.1 entra todo lo que sea 13.1.1.18 o anterior, y en la rama 13.0, todo lo que sea 13.0.2.29 o anterior. El aviso cubre los despliegues de Veeam Backup & Replication sobre Windows y el Veeam Software Appliance. La rama 12.x quedó fuera: Veeam la declara no afectada por este fallo concreto.
Por qué un fallo en el respaldo pesa más que en otra pieza
Un servidor de respaldo concentra copias de máquinas virtuales, bases de datos y archivos de toda la organización, junto con las credenciales y las rutas para moverlas. Los grupos de extorsión lo saben y buscan esas copias al inicio de sus ataques, para que la víctima no pueda recuperarse por su cuenta y el pago parezca la única salida. El patrón se vio en casos de ransomware que entra sin clave en la red de una empresa y convierte cada control de acceso roto en la primera pieza de una cadena larga.
Veeam no atribuye al CVE-2026-108142 una ejecución remota de código, y su aviso tampoco describe la secuencia paso a paso del ataque. Esa ausencia no vuelve el fallo teórico. La descripción oficial se limita a la evasión de la autorización, y CybersecurityNews subraya el mismo límite: no hay en el aviso una afirmación de explotación activa contra clientes. Lo confirmado es el hueco, su puntuación y el parche publicado.
El parche tiene dos destinos exactos. Quien corra la rama 13.1 debe subir a la compilación 13.1.2.57, y quien corra la rama 13.0, a la 13.0.3.63. No hay una configuración alternativa ofrecida por Veeam como sustituto de la actualización en el aviso KB4948: la corrección viaja en esas dos compilaciones y en ninguna otra.
El mismo aviso corrige otros tres fallos
El paquete del 27 de octubre trae más piezas. Veeam corrigió dos vulnerabilidades de severidad media ligadas a escritura de archivos en Backup & Replication y un fallo alto de escalada local de privilegios en Veeam Agent for Linux, el agente que protege equipos con ese sistema. Los cuatro fallos del aviso, incluido el crítico, llegaron a Veeam a través de HackerOne, la plataforma donde investigadores externos reportan huecos a cambio de recompensa.
El orden de trabajo para un administrador queda marcado por los propios datos del aviso. Primero, mirar la compilación exacta instalada, porque una 13.0 y una 13.1 piden destinos distintos y una 12.x ni siquiera entra en la lista. Después, aplicar la compilación corregida que toque y revisar qué equipos pueden hablar por red con el servidor de respaldo, un acceso que en muchas redes internas quedó más abierto de lo que nadie recuerda haber aprobado.
El dato que queda por comprobar en cada empresa es simple y local: cuántos servidores de respaldo siguen hoy en 13.1.1.18, en 13.0.2.29 o por debajo de esas compilaciones. Veeam ya publicó su parte el 27 de octubre, con el fallo nombrado, puntuado en 9,1 y corregido en dos compilaciones concretas.
Fuente: CybersecurityNews
