Une vulnérabilité critique affectant Veeam Backup & Replication expose les serveurs de sauvegarde à un risque d’exécution de code à distance. Référencée CVE-2025-64393, cette faille obtient un score de 9,4 sur 10 selon le référentiel CVSS 4.0. Elle permet à un utilisateur disposant de privilèges limités, notamment du rôle Backup Viewer, d’exécuter du code arbitraire avec les privilèges SYSTEM sur le serveur concerné.
Le 6 octobre 2026, Veeam a publié un correctif dans la version 12.3.2 P4, build 12.3.2.4934. Selon le bulletin de sécurité de l’éditeur, les versions 12.3.2.4854 et les builds antérieures de la version 12 sont concernées, tandis que les versions 13 ne sont pas affectées. Les organisations qui utilisent une version vulnérable doivent donc vérifier leur installation et planifier rapidement la mise à jour.
CVE-2025-64393 : une vulnérabilité critique dans Veeam Backup & Replication
La vulnérabilité CVE-2025-64393 concerne le mécanisme de traitement des données du service Mount de Veeam Backup & Replication. D’après le bulletin de sécurité officiel publié par Veeam, le problème résulte d’une désérialisation non sécurisée de données non fiables reçues par ce service.
La désérialisation consiste à reconstruire des objets ou des structures de données à partir d’informations sérialisées. Lorsqu’un logiciel traite ces données sans contrôles de sécurité suffisants, un attaquant peut, dans certaines conditions, provoquer l’exécution d’opérations non prévues par l’application.
Dans le cas de CVE-2025-64393, cette faiblesse peut être exploitée par un utilisateur possédant le rôle Backup Viewer pour exécuter du code à distance sur le serveur Veeam Backup.
Un score CVSS 4.0 de 9,4 sur 10
Veeam classe cette vulnérabilité comme critique et lui attribue un score CVSS v4.0 de 9,4. Ce niveau de gravité reflète notamment la possibilité d’une exploitation à distance, sans interaction supplémentaire d’un utilisateur, et les conséquences potentielles sur la confidentialité, l’intégrité et la disponibilité des systèmes concernés.
Les paramètres publiés par l’éditeur indiquent une faible complexité d’attaque, l’absence de condition préalable particulière et la nécessité de disposer de privilèges limités. La faille ne doit donc pas être considérée comme une vulnérabilité nécessitant obligatoirement un compte administrateur pour être exploitée.
La fiche CVE-2025-64393 de la base nationale américaine des vulnérabilités NVD fournit également des informations sur cette vulnérabilité et référence l’avis de sécurité de Veeam.
Des privilèges limités suffisent pour compromettre le serveur de sauvegarde
L’un des éléments les plus préoccupants de CVE-2025-64393 réside dans le niveau de privilèges requis. Selon la documentation de Veeam, un utilisateur disposant du rôle Backup Viewer peut exploiter la faille pour obtenir une capacité d’exécution de code à distance sur le serveur de sauvegarde.
Le rôle Backup Viewer est associé à des fonctions de consultation dans l’environnement Veeam. Il ne correspond pas, par définition, à un compte administrateur disposant de tous les droits de gestion. La vulnérabilité remet donc en question la séparation attendue entre les privilèges de consultation et les capacités d’exécution sur l’infrastructure.
Une fois l’exécution de code obtenue, le risque devient particulièrement important : le code peut s’exécuter avec les privilèges SYSTEM sur le serveur concerné. Dans un environnement Windows, ce niveau de privilèges permet d’effectuer de nombreuses opérations sensibles sur la machine.
Quels sont les risques pour les entreprises ?
Un serveur de sauvegarde constitue un élément essentiel du dispositif de reprise après incident. Il centralise ou orchestre la protection des données et peut disposer de connexions privilégiées vers les systèmes de production, les dépôts de sauvegarde et les infrastructures virtuelles.
Une compromission de ce serveur peut notamment entraîner :
- Une prise de contrôle du serveur : l’exécution de code avec les privilèges SYSTEM peut permettre à un attaquant de réaliser des opérations sensibles sur le système.
- Une exposition des données : selon les droits accessibles et la configuration, l’attaquant pourrait chercher à accéder aux informations stockées ou gérées par l’infrastructure.
- Une perturbation des sauvegardes : la compromission d’un serveur de sauvegarde peut faciliter des tentatives de sabotage des tâches de protection ou des mécanismes de restauration.
- Une aggravation d’une attaque par rançongiciel : un attaquant qui compromet les sauvegardes peut chercher à réduire les possibilités de récupération avant de perturber les systèmes de production.
Ces conséquences décrivent les risques associés à une compromission de l’environnement. Elles ne signifient pas que toutes ces actions ont été observées dans le cadre de CVE-2025-64393.
À la date de rédaction, le bulletin de sécurité de Veeam confirme la vulnérabilité et la disponibilité du correctif, mais ne suffit pas, à lui seul, à établir que la faille fait l’objet d’une exploitation active à grande échelle. Il convient donc de distinguer la gravité technique de la vulnérabilité des éventuels incidents d’exploitation documentés.
Quelles versions de Veeam Backup & Replication sont concernées ?
Le bulletin officiel publié le 6 octobre 2026 précise que CVE-2025-64393 affecte Veeam Backup & Replication 12.3.2.4854 et toutes les builds antérieures de la version 12.
La version 13 n’est pas affectée par cette vulnérabilité, selon l’éditeur.
Les administrateurs doivent vérifier la version exacte installée sur chaque serveur, sans se limiter au numéro de version majeur du produit.
| Élément | Information |
|---|---|
| Identifiant | CVE-2025-64393 |
| Produit | Veeam Backup & Replication |
| Gravité | Critique |
| Score CVSS | 9,4/10 — CVSS v4.0 |
| Versions affectées | Version 12.3.2.4854 et builds antérieures de la version 12 |
| Version corrective | 12.3.2 P4 |
| Build corrective | 12.3.2.4934 |
| Publication du correctif | 6 octobre 2026 |
| Version 13 | Non affectée selon Veeam |
Les détails techniques et les versions corrigées sont disponibles dans la base de connaissances officielle de Veeam, référence KB4934.
Veeam publie un correctif dans la version 12.3.2 P4
Pour corriger la vulnérabilité, Veeam a publié la mise à jour 12.3.2 P4, build 12.3.2.4934. Cette version intègre le correctif destiné à empêcher l’exploitation de CVE-2025-64393.
L’éditeur recommande de maintenir les installations à jour et souligne que la publication d’un correctif peut inciter des attaquants à analyser les modifications apportées au logiciel afin de rechercher des moyens d’exploiter les systèmes qui n’ont pas encore été mis à jour.
Pour les équipes informatiques, l’application du correctif constitue donc une priorité, particulièrement lorsque le serveur de sauvegarde est accessible depuis plusieurs segments du réseau ou utilisé par différents comptes.
Il est également important de noter que Veeam a documenté d’autres vulnérabilités corrigées dans cette même version P4, notamment CVE-2025-64392 et CVE-2026-93026. La mise à jour ne concerne donc pas uniquement la faille critique étudiée ici.
Comment protéger son infrastructure Veeam ?
Les organisations utilisant Veeam Backup & Replication doivent adopter une approche combinant la mise à jour du logiciel, la réduction des privilèges et la surveillance de l’infrastructure.
1. Installer rapidement la version corrective
Vérifiez la build actuellement déployée, puis préparez la mise à jour vers Veeam Backup & Replication 12.3.2 P4, build 12.3.2.4934, ou vers une version ultérieure appropriée. Les procédures de déploiement doivent tenir compte des dépendances, des composants installés et des exigences opérationnelles de l’environnement.
Consultez la documentation de l’éditeur avant toute intervention et validez le bon fonctionnement des tâches de sauvegarde après la mise à jour.
2. Réduire les privilèges des comptes
Examinez les comptes disposant du rôle Backup Viewer et vérifiez qu’ils correspondent toujours à des besoins opérationnels légitimes.
Supprimez les comptes inutilisés, limitez les autorisations au strict nécessaire et évitez de partager les comptes entre plusieurs utilisateurs. La réduction des privilèges ne remplace pas le correctif, mais elle contribue à limiter les possibilités d’abus de comptes.
3. Restreindre l’accès au serveur de sauvegarde
Limitez les connexions vers les serveurs Veeam aux systèmes et aux utilisateurs qui en ont réellement besoin. Isolez autant que possible l’infrastructure de sauvegarde des réseaux utilisateurs et des environnements directement exposés à Internet.
Les règles de pare-feu, la segmentation réseau et la restriction des accès d’administration peuvent réduire la surface d’attaque, sans toutefois constituer une solution de remplacement à la mise à jour.
4. Examiner les journaux et rechercher les signes de compromission
Pour les installations vulnérables, les équipes de sécurité devraient examiner les événements d’authentification, les activités inhabituelles sur le serveur de sauvegarde et les processus inattendus.
Une attention particulière doit être accordée aux comptes à privilèges limités qui présentent des comportements anormaux ou des activités incompatibles avec leur usage habituel.
La présence de la vulnérabilité ne prouve pas qu’un serveur a été compromis. En revanche, si des indices suspects sont détectés, il convient d’appliquer les procédures de réponse à incident de l’organisation, de préserver les éléments de preuve et de vérifier l’intégrité des sauvegardes avant toute restauration.
5. Vérifier la résilience des sauvegardes
Assurez-vous que les sauvegardes critiques peuvent être restaurées et que les mécanismes de protection contre leur suppression ou leur altération fonctionnent correctement.
Lorsque cela est possible, conservez des copies isolées ou immuables et testez régulièrement les procédures de reprise. Ces mesures permettent de limiter les conséquences d’une compromission du serveur de sauvegarde.
Conclusion
La vulnérabilité CVE-2025-64393 rappelle qu’un compte disposant de privilèges limités peut représenter un point d’entrée vers une infrastructure critique lorsque des mécanismes internes de sécurité présentent une faiblesse. Avec un score CVSS v4.0 de 9,4, cette faille expose les versions concernées de Veeam Backup & Replication à un risque sérieux d’exécution de code à distance avec les privilèges SYSTEM.
La priorité pour les organisations est de vérifier les versions déployées, d’installer le correctif 12.3.2 P4 ou une version corrective ultérieure adaptée, puis de contrôler les accès et l’intégrité de l’environnement de sauvegarde. La protection des sauvegardes reste essentielle pour préserver la capacité de reprise après une cyberattaque.
SOURCE : GBHACKERS
