Veeam Backup & Replication Sicherheitslücke CVE-2025-64393: RCE über die Rolle Backup Viewer
CVE-2025-64393 (CVSS 9,4) in Veeam Backup & Replication 12 erlaubt Benutzern mit der Rolle Backup Viewer, Code auf dem Backup-Server auszuführen. Behoben in 12.3.2.4934.
Zusammenfassung
Am 6. Oktober 2026 hat Veeam den Artikel KB4934 veröffentlicht. Er nennt drei Schwachstellen, die mit Veeam Backup & Replication 12.3.2 P4 behoben wurden. Die schwerwiegendste ist die Veeam Backup & Replication Sicherheitslücke CVE-2025-64393. Sie erlaubt einem Benutzer mit niedrigen Rechten, der nur die Rolle Backup Viewer hat, Code aus der Ferne auf dem Backup-Server auszuführen (RCE). Ursache ist eine unsichere Deserialisierung nicht vertrauenswürdiger Daten, die über den Mount Service empfangen werden. Laut CVE-Eintrag läuft der Code mit SYSTEM-Rechten.
- CVSS v4.0: 9,4 (Kritisch)
- Betroffene Versionen: Veeam Backup & Replication 12.3.2.4854 (12.3.2 P3) und alle älteren Builds der Version 12.
- Nicht betroffen: Alle Builds von Veeam Backup & Replication 13.
- Aktiv ausgenutzt: Der Veeam-Artikel nennt keine Ausnutzung. Bis zum 8. Oktober 2026 sind uns keine öffentlichen Berichte über Angriffe bekannt; die Lücke steht nicht im KEV-Katalog der CISA.
- Status der Behebung: Patch verfügbar: 12.3.2 P4 (Build 12.3.2.4934).
Im selben Update behobene Schwachstellen
| CVE | Schweregrad | CVSS v4.0 | Auswirkung |
|---|---|---|---|
| CVE-2025-64393 | Kritisch | 9,4 | Ein Benutzer mit der Rolle Backup Viewer kann Code aus der Ferne auf dem Backup-Server ausführen. |
| CVE-2026-93026 | Mittel | 6,1 | Ein Benutzer mit der Rolle Backup Viewer kann den Master Key des Enterprise Managers ändern oder löschen und gespeicherte Zugangsdaten für Antivirus-Updates lesen oder überschreiben. |
| CVE-2025-64392 | Mittel | 4,8 | Reflektiertes XSS im Veeam Backup Enterprise Manager: Öffnet ein angemeldeter Portalbenutzer einen präparierten Link, kann Skriptcode in seinem Browser laufen. |
Alle drei betreffen dieselben Builds und sind in 12.3.2.4934 behoben. Alle wurden über HackerOne gemeldet.
Warum das wichtig ist
Backup-Server sind ein bevorzugtes Ziel von Ransomware-Angreifern. Wer die Sicherungen löscht oder verschlüsselt, nimmt dem Opfer auch den Weg zurück. Hier braucht der Angreifer keine Admin-Rechte; ein Konto mit der Rolle Backup Viewer, die eigentlich nur zum Ansehen gedacht ist, genügt. Ein einziges kompromittiertes oder schwach geschütztes Viewer-Konto kann so zur Kontrolle über die gesamte Backup-Infrastruktur führen.
Veeam warnt selbst, dass Angreifer veröffentlichte Patches wahrscheinlich per Reverse Engineering analysieren, um ungepatchte Installationen anzugreifen.
Was ist jetzt zu tun?
- Build prüfen: Sehen Sie in der Konsole von Veeam Backup & Replication nach der Build-Nummer. Wenn Sie einen Build der Version 12 älter als 12.3.2.4934 einsetzen, sind Sie betroffen.
- Auf 12.3.2.4934 aktualisieren: Erstellen Sie vorher ein Konfigurations-Backup. Läuft der Enterprise Manager auf einem eigenen Server, aktualisieren Sie ihn ebenfalls.
- Rolle Backup Viewer einschränken: Prüfen Sie in der Konsole unter Users & Roles > Security, wer diese Rolle hat, und entfernen Sie unnötige Konten. Vergeben Sie die Rolle an namentlich bekannte Personen, nicht an große Gruppen.
- MFA für die Konsole aktivieren: Veeam Backup & Replication unterstützt Mehrfaktor-Authentifizierung für Anmeldungen an der Remote-Konsole und der Web-Oberfläche. MFA funktioniert nicht für Benutzergruppen; fügen Sie Benutzer daher einzeln hinzu. In der Community Edition gibt es kein MFA, und der Enterprise Manager unterstützt MFA nur über einen per SAML angebundenen Identitätsanbieter.
- Backup-Server aus der Domäne nehmen: Nehmen Sie den Veeam-Server nicht in die produktive Active-Directory-Domäne auf. Betreiben Sie ihn in einer separaten Verwaltungsumgebung und beschränken Sie den Admin-Zugriff auf ein eigenes Netzsegment.
- Unveränderliche und Offline-Kopien vorhalten: Speichern Sie mindestens eine Kopie Ihrer Sicherungen unveränderlich (immutable), etwa in einem gehärteten Linux-Repository oder in Objektspeicher mit Object Lock, oder offline. Testen Sie Wiederherstellungen regelmäßig.
- Nach Spuren suchen: Prüfen Sie den Backup-Server auf unerwartete Konten, neue Rollenzuweisungen, gelöschte oder veränderte Backup-Jobs und Änderungen am Schlüssel des Enterprise Managers.
- Ende von Version 12 einplanen: Der Support für Veeam Backup & Replication 12 endet am 28. Februar 2027. Planen Sie den Umstieg auf Version 13 schon jetzt.
Wie kann Doğa Network helfen?
Unser Team unterstützt Sie bei der Build-Prüfung und geplanten Aktualisierung von Veeam Backup & Replication, bei der Überprüfung von Rollen und Berechtigungen, bei MFA für die Konsole, beim Herauslösen des Backup-Servers aus der Domäne, beim Aufbau unveränderlicher Backup-Repositories und bei der Planung des Umstiegs auf Version 13. Sie erreichen uns unter +90 850 888 3642 oder per E-Mail an hi@doga.network.
Quellen
Weitere Artikel
PHP-Sicherheitslücken CVE-2026-109618 / CVE-2026-109619 (PHP2Shell): Kritische RCE wird aktiv ausgenutzt
PHP hat am 21. Oktober 2026 zwei kritische Lücken (CVSS 9,2), die Remote-Code-Ausführung ohne Authentifizierung erlauben, mit PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 geschlossen. Ausnutzung wird seit dem 17. Oktober beobachtet.
Weiterlesen →
Exchange Server Sicherheitslücke CVE-2026-70571: Kritische RCE, letzter Patch für 2016/2019
Microsoft hat die kritische Exchange-Server-Schwachstelle CVE-2026-70571 (CVSS 8,1, Remote Code Execution) mit den Updates vom 13. Oktober 2026 geschlossen. Für Exchange 2016/2019 ist dies das letzte Sicherheitsupdate, nur mit Period-2-ESU.
Weiterlesen →
Citrix NetScaler Sicherheitslücke CVE-2026-88779: SAML-Zero-Day
CVE-2026-88779 (CVSS 8,7) betrifft Citrix-NetScaler-Appliances mit SAML und wird aktiv ausgenutzt. Korrigierte Versionen, umstrittene Auswirkung und Persistenzspuren nach 88771.
Weiterlesen →