Veeam a publié des correctifs de sécurité majeurs pour Veeam ONE 13.1, corrigeant plusieurs vulnérabilités pouvant permettre l’exécution de code à distance (RCE), l’accès à des fichiers sensibles, l’injection SQL et l’élévation de privilèges. La faille la plus critique, CVE-2026-64633, affiche un score CVSS 10.0, le niveau de gravité maximal.
Ces vulnérabilités concernent Veeam ONE 13.0.2.6723 et toutes les versions antérieures de la branche 13. Les organisations sont invitées à effectuer une mise à jour immédiate vers Veeam ONE 13.1.0.7034, qui corrige l’ensemble des failles répertoriées dans le bulletin de sécurité officiel de Veeam.
Une faille CVSS 10.0 permettant une exécution de code sans authentification
La vulnérabilité CVE-2026-64633 constitue le risque le plus important. Elle permettrait à un attaquant distant non authentifié d’exécuter du code arbitraire sur un hôte exécutant un agent Veeam ONE.
Une exploitation réussie pourrait offrir un accès initial au système compromis, ouvrant la voie à :
- l’installation de malwares ;
- des déplacements latéraux dans le réseau ;
- le vol d’identifiants ;
- le déploiement d’un ransomware ;
- la compromission complète de l’infrastructure de supervision.
Ce type de vulnérabilité est particulièrement critique car il ne nécessite aucune authentification préalable.
Les détails techniques ainsi que les versions concernées sont disponibles dans le bulletin officiel de Veeam :
Plusieurs autres vulnérabilités de haute gravité
Outre la faille critique, Veeam a corrigé plusieurs vulnérabilités importantes.
CVE-2026-58075 : lecture arbitraire de fichiers
Cette faille permet à un attaquant non authentifié de lire des fichiers présents sur le serveur Veeam ONE.
Les informations susceptibles d’être récupérées comprennent notamment :
- les fichiers de configuration ;
- les journaux système ;
- les identifiants enregistrés ;
- des données sensibles pouvant faciliter une compromission ultérieure.
Cette vulnérabilité peut également favoriser une élévation de privilèges locale.
CVE-2026-58074 : exécution de code avec privilèges élevés
Cette vulnérabilité nécessite un compte disposant déjà de privilèges élevés.
Elle permet néanmoins d’exécuter du code arbitraire directement sur le serveur Veeam ONE, offrant à un attaquant ayant compromis un compte administrateur la possibilité d’étendre son contrôle sur l’environnement.
CVE-2026-64631 : injection SQL
Une autre vulnérabilité importante concerne une injection SQL.
Un utilisateur disposant de faibles privilèges peut exploiter cette faille afin d’accéder au contenu de la base de données de Veeam ONE.
Les données exposées peuvent inclure :
- la cartographie de l’infrastructure ;
- les informations relatives aux sauvegardes ;
- les comptes utilisateurs ;
- les informations de supervision.
Ces informations peuvent ensuite être utilisées pour préparer une attaque plus sophistiquée.
CVE-2026-64634 : élévation de privilèges
Cette faille affecte le service Reporter de Veeam ONE.
Un attaquant disposant déjà d’un accès local peut obtenir des privilèges supplémentaires et accéder à des ressources normalement protégées.
CVE-2026-64630 : accès non autorisé aux rapports
Enfin, Veeam corrige une vulnérabilité de gravité moyenne permettant à un utilisateur peu privilégié d’accéder à des rapports qui ne devraient pas lui être accessibles.
Bien que moins critique, cette faille peut conduire à une fuite d’informations utiles à un attaquant.
Tableau des vulnérabilités corrigées
| CVE | Description | Gravité |
|---|---|---|
| CVE-2026-64633 | Exécution de code à distance sans authentification | Critique (CVSS 10.0) |
| CVE-2026-58075 | Lecture arbitraire de fichiers | Élevée |
| CVE-2026-58074 | Exécution de code avec privilèges élevés | Élevée |
| CVE-2026-64631 | Injection SQL | Élevée |
| CVE-2026-64634 | Élévation de privilèges locale | Élevée |
| CVE-2026-64630 | Accès non autorisé aux rapports | Moyenne |
Pourquoi ces vulnérabilités sont préoccupantes
Les plateformes de sauvegarde constituent aujourd’hui des cibles privilégiées des groupes de ransomware.
En compromettant un serveur Veeam ONE, un attaquant peut obtenir une visibilité importante sur l’infrastructure, identifier les serveurs critiques, compromettre les mécanismes de sauvegarde et compliquer considérablement les opérations de restauration après une cyberattaque.
Les chercheurs rappellent également que les cybercriminels procèdent fréquemment à l’ingénierie inverse des correctifs publiés afin de développer rapidement des exploits visant les organisations qui tardent à appliquer les mises à jour.
Recommandations de sécurité
Les administrateurs sont invités à :
- mettre immédiatement à niveau Veeam ONE vers la version 13.1.0.7034 ;
- vérifier que les serveurs Veeam ne sont pas directement exposés à Internet ;
- limiter l’accès aux seuls administrateurs autorisés ;
- surveiller les journaux afin de détecter toute activité inhabituelle ;
- contrôler les requêtes SQL suspectes ainsi que les événements d’exécution de code ;
- appliquer le principe du moindre privilège pour les comptes administratifs.
Les recommandations officielles de l’éditeur sont disponibles ici :
Le suivi des identifiants CVE peut également être consulté sur la base de données du MITRE :
Enfin, les bonnes pratiques de sécurisation des systèmes de sauvegarde sont détaillées par la CISA :
Une mise à jour à ne pas repousser
Avec une vulnérabilité CVSS 10.0 permettant une exécution de code sans authentification, cette série de correctifs figure parmi les plus importantes publiées par Veeam ces dernières années. Les entreprises utilisant Veeam ONE doivent considérer cette mise à jour comme prioritaire afin de réduire les risques d’intrusion, de vol de données et de déploiement de ransomwares.
SOURCE :
