Veeam corrige une faille critique sans authentification dans Backup & Replication 13

Veeam a publié le 27 octobre 2026 des correctifs pour CVE-2026-108142, une faille critique de Veeam Backup & Replication 13, son logiciel de sauvegarde. Selon le bulletin de sécurité de l’éditeur, elle permet à un attaquant non authentifié, donc sans identifiant ni mot de passe, de contourner les contrôles d’autorisation du service CDP Coordinator. Son score atteint 9,1 sur 10 sur l’échelle CVSS v4.0, qui mesure la gravité des failles. Les administrateurs de la branche 13 doivent faire la mise à jour sans attendre.

Un service du serveur de sauvegarde

Le sigle CDP désigne la Continuous Data Protection, c’est-à-dire la protection en continu des données, une fonction que Veeam documente pour la plateforme de virtualisation VMware vSphere. D’après IT-Connect, le CDP Coordinator s’exécute sur le serveur de sauvegarde et coordonne les tâches de réplication et de transfert de données. Les installations sous Windows sont touchées, tout comme la Veeam Software Appliance, livrée prête à l’emploi par l’éditeur. À notre avis, un service placé au cœur de la sauvegarde fait une cible de choix.

Les détails techniques restent rares. Cyber Press relève que l’éditeur ne décrit pas le défaut d’implémentation sous-jacent. D’après IT-Connect, la faille ne permet pas d’exécuter directement du code à distance, c’est-à-dire de lancer soi-même un programme sur le serveur. Nous retenons que cette nuance ne dispense pas de corriger vite : un contournement d’autorisation sur un serveur de sauvegarde reste une affaire sérieuse.

Le calendrier presse. Dans son bulletin, Veeam prévient que des attaquants analysent les correctifs publiés pour viser les serveurs restés sans mise à jour. Le 27 octobre 2026, SecurityOnline ne relevait ni exploitation active confirmée ni preuve de concept publique, c’est-à-dire un code qui démontre l’attaque. Cette situation peut évoluer vite, d’où l’urgence de la mise à jour.

Les attaquants tenteront probablement de procéder à la rétro-ingénierie du correctif pour exploiter les déploiements non corrigés des logiciels Veeam.

Versions touchées et correctifs

Les versions de Veeam se rangent en branches, c’est-à-dire en séries numérotées. Dans la branche 13.1, la faille touche la version 13.1.1.18 et toutes celles qui la précèdent. Dans la branche 13.0, la 13.0.2.29 est vulnérable, tout comme les versions antérieures. L’éditeur précise que les versions plus anciennes, comme la 12.x, ne sont pas concernées.

Le correctif arrive avec la version 13.1.2 (build 13.1.2.57) pour la branche 13.1 et la 13.0.3 (build 13.0.3.63) pour la 13.0 ; le build est le numéro précis de la version installée. L’éditeur demande d’installer toutes les mises à jour sans délai. Les versions 13.1.2 et 13.0.3 sont à déployer en priorité.

Le même bulletin corrige deux failles de gravité moyenne, CVE-2026-108140 et CVE-2026-108141, notées 5,9. Elles supposent un utilisateur authentifié doté du rôle Restore Operator, chargé des restaurations, qui contrôle aussi le contenu d’un partage NAS sauvegardé. Cet utilisateur peut alors écrire des fichiers à un emplacement arbitraire du serveur de sauvegarde. Le même jour, Veeam a aussi corrigé une faille de Veeam Agent for Linux notée 7,3 et, dans un bulletin distinct, une faille de Veeam ONE notée 8,5.

Que faire en petite structure

Première étape : relever le numéro de version installé et le comparer aux numéros cités plus haut. Deuxième étape : appliquer la mise à jour sans attendre, après avoir sauvegardé la configuration du logiciel. À notre avis, un serveur de sauvegarde ne devrait être joignable que depuis quelques postes d’administration. Cette précaution ne remplace pas le correctif, mais elle limite les risques jusqu’à son installation.

Cette affaire le rappelle : un logiciel de sauvegarde est lui-même une cible, qui demande les mêmes mises à jour régulières que le reste du parc informatique. Pour celles et ceux qui souhaitent explorer des solutions libres, nous avons présenté Borg UI, une interface graphique pour BorgBackup, et Databasus, qui restaure ses sauvegardes pour les vérifier. Ces outils ne couvrent pas tout ce que fait Veeam, notamment la réplication de machines virtuelles, et changer d’outil ne dispense pas de corriger d’abord la version en place. Dans la mesure de nos disponibilités, nous aidons volontiers, à titre bénévole et gratuit, les personnes qui veulent y réfléchir.