Kritische Veeam-Lücke macht Backup-Server zum direkten Angriffsziel

Veeam hat am 27. Oktober 2026 eine kritische Schwachstelle geschlossen, über die sich der Continuous-Data-Protection-Dienst (CDP) von Veeam Backup & Replication ohne jede Anmeldung ansprechen lässt. Wer diese Lücke jetzt nur als weiteren Patch abhakt, übersieht die eigentliche Verschiebung: Der Backup-Server ist nicht mehr nur die letzte Verteidigungslinie gegen Ransomware, er ist selbst zum primären Ziel geworden.

Das Wichtigste in Kürze

• CVE-2026-108142 erlaubt unauthentifizierten Zugriff auf den CDP-Dienst von Veeam Backup & Replication; Fix in Version 13.1.2.57 beziehungsweise 13.0.3.63.
• CVE-2026-107671 in Veeam ONE erlaubt einem Angreifer mit gültigen Administrator-Zugangsdaten, die MFA global zu deaktivieren; Fix in Version 13.1.0.7940.
• Zum Veröffentlichungszeitpunkt sind keine aktiven Angriffe bekannt – das ist kein Grund zu warten, sondern ein Zeitfenster, das sich schließen kann.
• Patchen allein reicht nicht: Logs, Konfigurationen und Backup-Ketten sollten rückwirkend auf Manipulationen geprüft werden.
• Nur eine vom Veeam-Server unabhängig administrierte, isolierte Backup-Kopie bleibt im Ernstfall verlässlich.

Was Veeam am 27. Oktober 2026 korrigiert hat

In der Sicherheitsmitteilung KB4948 beschreibt Veeam CVE-2026-108142 als kritische Schwachstelle im CDP Coordinator Service von Veeam Backup & Replication. Betroffen sind Windows-Installationen und die Veeam Software Appliance bis Version 13.1.1.18 beziehungsweise 13.0.2.29; ältere Versionen 12.x sind laut Hersteller nicht betroffen. Parallel beschreibt Veeam in KB4951 CVE-2026-107671 in Veeam ONE: Ein Angreifer mit bereits gültigen Administrator-Zugangsdaten kann die MFA-Prüfung umgehen und global deaktivieren, bevor sie abgeschlossen ist. Heise berichtete am 28. Oktober 2026 über beide Sachverhalte und stufte die CDP-Lücke als kritisch, die MFA-Lücke als hoch kritisch ein.

Warum die CDP-Lücke mehr ist als ein Routine-Patch

Die Formulierung „ohne Anmeldung“ klingt nach einem Angriff, der aus dem offenen Internet jederzeit möglich ist. So einfach ist es nicht, aber auch nicht entwarnend: In der CVSS-Bewertung von Veeam steckt der Parameter „Attack Requirements: Present“ – es gibt also mindestens eine zusätzliche technische Angriffsbedingung, die Veeam öffentlich nicht näher beschreibt. Für die Praxis heißt das: Niemand sollte den CDP-Dienst wie einen vertrauenswürdigen internen Dienst behandeln, nur weil die genaue Angriffsbedingung unklar ist. Der Dienst sollte ausschließlich aus den Netzen erreichbar sein, die ihn tatsächlich benötigen – eine fertige Workaround-Konfiguration liefert Veeam in der Mitteilung allerdings nicht.

Besonders relevant ist der Zeitfaktor: Backup-Infrastrukturen sind bei Ransomware-Angriffen regelmäßig das erste Ziel, weil ihre Zerstörung oder Manipulation die Wiederherstellbarkeit des gesamten Betriebs infrage stellt. Eine Lücke, die genau diesen Server ohne Anmeldung angreifbar macht, verdient deshalb Priorität vor vielen anderen offenen Patches.

Die zweite Lücke, CVE-2026-107671 in Veeam ONE, setzt bereits gültige Administrator-Zugangsdaten voraus. Sie ist deshalb kein Einfallstor für sich allein, sondern ein Verstärker: Ist ein Administratorkonto erst einmal kompromittiert, kann ein Angreifer die zusätzliche MFA-Schranke global abschalten und damit auch die Überwachung der Backup-Umgebung schwächen – etwa durch veränderte Alarme oder verschleierte fehlgeschlagene Jobs. Veeam beschreibt ausdrücklich nur die MFA-Deaktivierung als Funktion der Lücke; weitergehende Folgeaktionen hängen von den Berechtigungen des jeweiligen Kontos ab.

Was jetzt zu tun ist:

• Heute: Alle Veeam-Backup-&-Replication- und Veeam-ONE-Installationen inventarisieren, inklusive Appliances und zentral verwalteter Linux-Agents, und die exakte Buildnummer gegen die Zielversionen 13.1.2.57, 13.0.3.63 und 13.1.0.7940 prüfen.
• Diese Woche: Netzwerkzugriff auf CDP- und Management-Dienste auf die tatsächlich benötigten administrativen Netze begrenzen; Administratorkonten, Restore-Operator-Berechtigungen und Zugriff auf NAS-Freigaben überprüfen.
• Diese Woche: Logs, Netzwerkdaten und Veeam-Konfigurationen vor dem Patch sichern und auf unerwartete Verbindungen zum CDP-Dienst, unerklärliche Konfigurationsänderungen oder neue Benutzerkonten prüfen.
• Mittelfristig: Mindestens eine Backup-Kopie etablieren, die mit eigenen Administratorkonten, ohne dauerhafte Vertrauensstellung zur Produktionsdomäne und mit technisch erzwungener Unveränderbarkeit betrieben wird, inklusive regelmäßig getestetem Notfall-Restore.

Außerdem wichtig in dieser Woche

Eine kritische Schwachstelle in Oracle E-Business Suite wird bereits aktiv angegriffen: Heise berichtete am 29. Oktober 2026, dass CVE-2026-101767 nicht authentifizierten Angreifern über HTTP die vollständige Übernahme von Instanzen der Versionen 12.2.3 bis 12.2.15 ermöglicht, mit einem CVSS-Wert von 9,8. Honeypots registrierten bereits Probing-Versuche. Wer E-Business Suite im Einsatz hat, sollte das Oracle-Patchupdate vom Oktober umgehend einspielen und die Internet-Erreichbarkeit der Instanzen bis dahin minimieren.

Die US-Behörde CISA hat am 30. Oktober 2026 zwei aktiv ausgenutzte Schwachstellen in Ivanti Connect Secure in ihren Known-Exploited-Vulnerabilities-Katalog aufgenommen: CVE-2026-111357, eine fehlende Authentifizierung für eine kritische Funktion, und CVE-2026-118527, eine Schwachstelle durch vorhersehbare Kennungen. Da VPN-Gateways direkt im Internet stehen, sollten Unternehmen mit Ivanti Connect Secure die Herstellermaßnahmen umgehend umsetzen und VPN-Logs auf kompromittierte Konten prüfen.

Eine zunächst Node.js zugeschriebene Lücke in der Komprimierungsbibliothek Brotli betrifft laut Heise-Bericht vom 26. Oktober 2026 auch Python, Bun und weitere Software, die Brotli direkt oder über Sprach-Bindings nutzt. CVE-2026-111497 erreicht einen CVSS-Wert von 9,2 und gilt als aktiv ausgenutzt; korrigiert ist sie in Brotli 1.0.10, 1.1.1 beziehungsweise 1.2.1 sowie in entsprechenden Node.js- und Python-Paketversionen. Weil Brotli oft nur indirekt als Abhängigkeit vorkommt, lohnt sich eine gezielte Suche im Softwareinventar nach betroffenen Versionen.

Einordnung aus Sicht von jalotiqo

Wir halten die Veeam-Lücke für wichtiger, als es die übliche Routine „Patch einspielen“ nahelegt. Der eigentliche Denkfehler liegt darin, Backup-Server als nachgelagerte Infrastruktur zu behandeln, die man patcht, sobald Zeit ist – während Angreifer sie längst als primäres Ziel einstufen, weil ihre Kompromittierung die Wiederherstellung nach einem Vorfall verhindert. Aus unserer Sicht ist die unterschätzte Konsequenz nicht die Patch-Installation selbst, sondern die retrospektive Prüfung: Wer nur aktualisiert, ohne vorher zu prüfen, ob der CDP-Dienst in den vergangenen Wochen bereits erreichbar und angesprochen wurde, patcht möglicherweise eine bereits kompromittierte Umgebung. An erster Stelle würden wir deshalb nicht den Patch, sondern die Sicherung von Logs und Konfigurationen setzen, gefolgt vom Update und der Netzwerksegmentierung des CDP-Dienstes. Bewusst zurückstellen würden wir den vollständigen Umbau der Backup-Architektur auf ein neues Immutability-Konzept – das ist sinnvoll, aber kein Ereignis, das diese Woche entschieden werden muss. Dass Nachweise über durchgeführte Prüfungen und Updates im Ernstfall ohnehin gebraucht werden, ist ein Punkt, den Werkzeuge wie jalotiqo ONE abbilden können, indem sie den abgeschlossenen Patch- und Prüfschritt direkt als Beleg im Betrieb festhalten statt ihn nachträglich zu dokumentieren.

Quellen

1. Heise: Veeam-Backup-Server manipulierbar und MFA deaktivierbar
2. Veeam KB4948 – Sicherheitsmitteilung zu CVE-2026-108142
3. Veeam KB4951 – Sicherheitsmitteilung zu CVE-2026-107671
4. Heise: Attacks target new Oracle E-Business Suite vulnerability
5. CISA: Two Known Exploited Vulnerabilities Catalog additions (Ivanti Connect Secure)
6. Heise: Brotli-Decoder-Lücke nicht nur in Node.js, sondern auch in Bun, Python und mehr