Veeam hat am 6. Oktober 2026 den Patch 12.3.2 P4 für Backup & Replication beschrieben. Er behebt drei Schwachstellen, eine davon kritisch mit CVSS 9,4. Betroffen ist die Rolle Backup Viewer. Zudem endet der Support für Version 12 am 28. Februar 2027.
Veeam behebt eine kritische Backup-Lücke mit CVSS 9,4 im Patch 12.3.2 P4. Wer die Reihe 12 betreibt, sollte jetzt die Build-Nummer prüfen. Der Hersteller beschreibt drei Schwachstellen, die alle über HackerOne gemeldet wurden.
Das Wichtigste in Kürze
- Eine Lücke ist kritisch. Ein Nutzer mit der Rolle Backup Viewer kann Code auf dem Backup-Server ausführen. Der CVSS-Wert liegt bei 9,4.
- Zwei weitere Lücken wiegen weniger schwer. Sie betreffen den Enterprise Manager und gespeicherte Zugangsdaten für Antivirus-Updates.
- Version 12 läuft aus. Der Support endet am 28. Februar 2027.
- Auch Version 13.1 hat Korrekturen. Dort behebt Veeam vier weitere Schwachstellen, eine davon mit hohem Schweregrad.
Veeam Backup: Quelle und Stand der Meldung
Veeam hat den Knowledge-Base-Eintrag KB 4934 am 6. Oktober 2026 veröffentlicht. Zuletzt aktualisiert wurde er am selben Tag. Betroffen ist die gesamte Reihe 12, von der ersten Ausgabe bis zum Stand 12.3.2. Die genauen Build-Nummern der behobenen Ausgabe stehen im Eintrag selbst. Prüfe sie dort, bevor Du patchst. Alle drei Funde stammen von externen Meldern. Sie kamen über die Plattform HackerOne zu Veeam.
Die drei Schwachstellen im Überblick
Die Tabelle fasst die Angaben des Herstellers zusammen.
| Schwachstelle | Schweregrad und CVSS v4.0 | Bedeutung |
|---|---|---|
| Unsichere Deserialisierung im Mount Service | Kritisch, 9,4 | Nutzer mit Rolle Backup Viewer führt Code auf dem Backup-Server aus |
| Zugriff auf Master-Schlüssel und Antivirus-Zugangsdaten | Mittel, 6,1 | Schlüssel des Enterprise Managers lässt sich ändern oder löschen, Zugangsdaten lassen sich lesen und überschreiben |
| Reflektiertes Cross-Site-Scripting im Enterprise Manager | Mittel, 4,8 | Skript läuft im Browser eines angemeldeten Portal-Nutzers, der einen präparierten Link öffnet |
Dabei fällt auf, dass die ersten beiden Lücken dieselbe Rolle betreffen. Der Backup Viewer gilt als Konto mit wenigen Rechten. Trotzdem genügt er laut Veeam für die Codeausführung. Der Angriff läuft über das Netzwerk und braucht keine Mitwirkung eines zweiten Nutzers. Beim Cross-Site-Scripting muss dagegen ein Portal-Nutzer den Link anklicken.
Veeam Backup absichern: Das sollten Admins jetzt prüfen
Deshalb lohnt sich ein kurzer Blick auf die eigene Umgebung. Die Quelle nennt keine Gegenmassnahme ausser dem Update. Alles Weitere ist eine Ableitung aus den Angaben:
- Stelle fest, welche Ausgabe und welche Build-Nummer auf dem Backup-Server läuft.
- Liste auf, wer die Rolle Backup Viewer trägt.
- Prüfe, ob der Enterprise Manager im Einsatz ist und wer ihn erreichen kann.
- Vergleiche die Build-Nummer mit den Angaben in KB 4934.
- Plane das Update als Wartungsfenster ein.
Auch Version 13.1 schliesst Lücken
Zudem hat Veeam in KB 4902 die Korrekturen für Version 13.1 aufgelistet. Der Eintrag erschien am 25. August 2026 und wurde am 5. Oktober 2026 zuletzt geändert. Er nennt vier Punkte:
- Zugangsdaten des Gast-Betriebssystems landen bei der anwendungsbewussten Verarbeitung im Klartext in Logdateien (Schweregrad mittel, 6,8).
- Ein angemeldeter Cloud-Connect-Mandant kann Dateien auf dem Host des Dienstanbieters lesen (hoch, 8,3).
- Ein Angreifer löst einen Denial-of-Service aus, der Prozesse auf dem Rechner betrifft (ebenfalls 6,8).
- Ein lokaler Nutzer schreibt bei der Installation beliebige Dateien als SYSTEM (4,1).
Damit zeigt sich, dass beide Produktlinien aktuell Korrekturen erhalten. Für Dienstanbieter mit Cloud Connect ist die Dateileselücke besonders wichtig, denn sie betrifft Mandanten fremder Kunden.
Einordnung: Was das für Admins in der Schweiz heisst
Wer Veeam Backup & Replication 12 betreibt, sollte den Patch 12.3.2 P4 zeitnah einspielen. Besonders gefährdet sind Umgebungen, in denen viele Personen die Rolle Backup Viewer haben. Ein Backup-Server hält Zugriff auf Sicherungen und oft auf Zugangsdaten. Deshalb ist er ein lohnendes Ziel. Die Quelle nennt keine Kosten für den Patch. Der Aufwand besteht aus dem Wartungsfenster. Wegen des Supportendes am 28. Februar 2027 sollten Teams zugleich den Umstieg auf Version 13 planen.
Fazit
Du weisst jetzt, welche drei Lücken Veeam in der Reihe 12 behebt und warum die kritische Vorrang hat. Öffne als Nächstes KB 4934 und gleiche Deine Build-Nummer ab. Spiele danach den Patch ein und prüfe die Rollenvergabe. Setze den Umstieg auf die Agenda, bevor der Support im Februar 2027 endet. Bei Fragen hilft ein Support-Fall bei Veeam.
Quellen: Veeam Knowledge Base (offiziell, Sicherheitsfixes), Veeam Knowledge Base (offiziell, Sicherheitsfixes). Foto: cookieone / Pixabay. Stand: 20. Oktober 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.