Veeam Backup & Replication Güvenlik Açığı: CVE-2025-64393, Backup Viewer Rolüyle RCE
Veeam Backup & Replication 12'deki CVE-2025-64393 (CVSS 9,4), Backup Viewer rolündeki bir kullanıcının yedekleme sunucusunda kod çalıştırmasına izin veriyor. Düzeltme 12.3.2.4934'te.
Özet
Veeam, 6 Ekim 2026'da yayımladığı KB4934 makalesinde Veeam Backup & Replication 12.3.2 P4 sürümüyle kapatılan üç güvenlik açığını duyurdu. En ciddisi Veeam Backup & Replication güvenlik açığı CVE-2025-64393. Açık, yalnızca Backup Viewer rolüne sahip düşük yetkili bir kullanıcının, yedekleme sunucusunda uzaktan kod çalıştırmasına (RCE) imkân veriyor. Sorun, Mount Service üzerinden alınan güvenilmeyen verinin güvensiz biçimde seri durumdan çıkarılmasından (insecure deserialization) kaynaklanıyor. CVE kaydına göre kod, sunucuda SYSTEM yetkisiyle çalışıyor.
- CVSS v4.0: 9,4 (Kritik)
- Etkilenen sürümler: Veeam Backup & Replication 12.3.2.4854 (12.3.2 P3) ve önceki tüm 12 sürümleri.
- Etkilenmeyen: Veeam Backup & Replication 13'ün tüm sürümleri.
- Aktif istismar: Veeam'in makalesinde istismar bilgisi yok. 8 Ekim 2026 itibarıyla kamuya açık bir istismar raporu görmedik; açık CISA KEV kataloğunda da yer almıyor.
- Çözüm durumu: Yama yayınlandı: 12.3.2 P4 (build 12.3.2.4934).
Aynı güncellemede kapatılan açıklar
| CVE | Önem | CVSS v4.0 | Ne yapıyor? |
|---|---|---|---|
| CVE-2025-64393 | Kritik | 9,4 | Backup Viewer rolündeki kullanıcı yedekleme sunucusunda uzaktan kod çalıştırabiliyor. |
| CVE-2026-93026 | Orta | 6,1 | Backup Viewer rolündeki kullanıcı Enterprise Manager ana anahtarını (master key) değiştirebiliyor veya silebiliyor; kayıtlı antivirüs güncelleme kimlik bilgilerini okuyup üzerine yazabiliyor. |
| CVE-2025-64392 | Orta | 4,8 | Veeam Backup Enterprise Manager'da yansıtılan XSS: Hazırlanmış bir bağlantıyı açan, oturum açmış portal kullanıcısının tarayıcısında betik çalıştırılabiliyor. |
Üç açık da aynı sürümleri etkiliyor ve 12.3.2.4934 sürümünde düzeltildi. Hepsi HackerOne üzerinden bildirildi.
Neden önemli?
Yedekleme sunucusu, fidye yazılımı saldırganlarının öncelikli hedeflerinden biri. Yedekleri silen ya da şifreleyen bir saldırgan, kurtarma imkânını da ortadan kaldırır. Bu açıkta saldırganın yönetici olması gerekmiyor; izleme amacıyla verilen Backup Viewer rolüne sahip bir hesap yeterli. Ele geçirilmiş ya da zayıf parolalı tek bir izleme hesabı, bütün yedekleme altyapısının kontrolüne dönüşebilir.
Veeam de yama duyurulduktan sonra saldırganların yamayı tersine mühendislikle inceleyip güncellenmemiş kurulumları hedef alabileceği uyarısını yapıyor.
Şimdi ne yapmalısınız?
- Sürümü kontrol edin: Veeam Backup & Replication konsolunda build numarasına bakın. 12.3.2.4934'ten eski bir 12 sürümü kullanıyorsanız etkileniyorsunuz.
- 12.3.2.4934'e güncelleyin: Güncellemeden önce yapılandırma yedeği (configuration backup) alın. Enterprise Manager ayrı bir sunucudaysa onu da güncellemeyi unutmayın.
- Backup Viewer rolünü daraltın: Konsolda Users & Roles > Security bölümünden bu rolü kimlerin taşıdığını listeleyin, gereksiz hesapları kaldırın. Rolü geniş gruplara değil, adı belli kişilere verin.
- Konsolda MFA'yı açın: Veeam Backup & Replication, uzak konsol ve web arayüzü girişleri için çok faktörlü kimlik doğrulamayı (MFA) destekliyor. MFA kullanıcı grupları için çalışmadığından kullanıcıları tek tek ekleyin. Community Edition'da MFA yok. Enterprise Manager'da MFA yalnızca SAML ile bağlanan bir kimlik sağlayıcısı üzerinden kullanılabiliyor.
- Yedekleme sunucusunu etki alanından ayırın: Veeam sunucusunu üretim Active Directory etki alanına üye yapmayın. Ayrı bir yönetim ortamında tutun ve yönetim erişimini ayrı bir ağ segmentiyle sınırlayın.
- Değiştirilemez ve çevrimdışı kopya tutun: Yedeklerin en az bir kopyasını değiştirilemez (immutable) bir depoda, örneğin sertleştirilmiş bir Linux deposunda ya da nesne kilidi (Object Lock) destekli depolamada, veya çevrimdışı bir ortamda saklayın. Geri yüklemeyi düzenli olarak test edin.
- İzleri kontrol edin: Yedekleme sunucusunda beklenmeyen hesapları, yeni yetki atamalarını, silinmiş ya da değiştirilmiş yedekleme işlerini ve Enterprise Manager anahtar değişikliklerini gözden geçirin.
- Sürüm 12 için plan yapın: Veeam Backup & Replication 12'nin desteği 28 Şubat 2027'de bitiyor. Sürüm 13'e geçişi şimdiden planlayın.
Doğa Network nasıl yardımcı olabilir?
Veeam Backup & Replication sürüm kontrolü ve planlı güncelleme, rol ve yetki gözden geçirmesi, konsolda MFA, yedekleme sunucusunun etki alanından ayrılması, değiştirilemez yedek deposu kurulumu ve sürüm 13'e geçiş planı konusunda ekibimiz destek verebilir. Bize 0850 888 3642 numaralı telefondan veya hi@doga.network adresinden ulaşabilirsiniz.
Kaynaklar
Diğer yayınlar
PHP Güvenlik Açığı CVE-2026-109618 / CVE-2026-109619 (PHP2Shell): Kritik RCE aktif istismar ediliyor
PHP, kimlik doğrulaması olmadan uzaktan kod çalıştırmaya imkân veren iki kritik açığı (CVSS 9,2) 21 Ekim 2026'da PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 ile kapattı. Açıklar 17 Ekim'den beri istismar ediliyor; Siber Güvenlik Başkanlığı TR-26-1372 bildirimini yayınladı.
Devamını oku →
Exchange Server Güvenlik Açığı CVE-2026-70571: Kritik RCE, 2016/2019 için son yama
Microsoft, Exchange Server'daki kritik uzaktan kod çalıştırma açığı CVE-2026-70571'i (CVSS 8,1) 13 Ekim 2026 güncellemeleriyle kapattı. Exchange 2016/2019 için bu, alınabilecek son güvenlik güncellemesi ve yalnızca Period 2 ESU'ya kayıtlı kurumlara sunuluyor.
Devamını oku →
Citrix NetScaler Güvenlik Açığı: CVE-2026-88779 SAML Zero-Day
Citrix NetScaler'da SAML kullanan cihazları etkileyen CVE-2026-88779 (CVSS 8,7) aktif istismar ediliyor. Düzeltilmiş sürümler, etki tartışması ve 88771 sonrası arka kapı izleri.
Devamını oku →