Faille Veeam CVE-2026-108142 : vérifier et corriger votre serveur de sauvegarde
Veeam a publié le 27 octobre 2026 un bulletin de sécurité pour Veeam Backup & Replication 13. La faille principale, CVE-2026-108142, est notée 9,1 sur 10 (critique) : un attaquant sans compte peut contourner les vérifications d’autorisation d’un service du serveur de sauvegarde, le CDP Coordinator Service. Le correctif existe déjà : la version 13.1.2 (build 13.1.2.57) ou 13.0.3 (build 13.0.3.63).
Beaucoup de PME utilisent Veeam sans le savoir vraiment : c’est le fournisseur TI qui l’a installé, et personne ne regarde la version tant que les rapports sont verts. Cet article vous aide à vérifier en dix minutes si la faille Veeam touche votre serveur, et à poser les bonnes questions.
Faille Veeam CVE-2026-108142 : ce qui a été annoncé
Selon le bulletin KB4948 de Veeam, la faille touche les installations Windows de Veeam Backup & Replication et la Veeam Software Appliance, en versions 13.1 jusqu’à 13.1.1.18 et 13.0 jusqu’à 13.0.2.29. Les versions 12.x ne sont pas touchées par cette faille précise. Elle a été signalée par le programme HackerOne de Veeam.
Selon la notation CVSS publiée, l’impact porte surtout sur l’intégrité et la disponibilité du serveur : en clair, ce qu’il fait et s’il continue de fonctionner. Le bulletin ne mentionne pas d’exploitation active. Veeam rappelle toutefois, dans chaque bulletin, qu’une fois un correctif publié, des attaquants tentent de l’analyser pour viser les serveurs non mis à jour.
Le même bulletin corrige deux failles moyennes (CVE-2026-108140 et CVE-2026-108141), qui demandent un compte avec le rôle Restore Operator, ainsi qu’une élévation de privilèges dans Veeam Agent pour Linux 13.1 (CVE-2026-105477) quand l’agent est géré par Veeam Backup & Replication.
La fiche de votre serveur de sauvegarde
Avant de parler de correctif, il faut savoir ce que vous avez. Voici la fiche qu’on remplit avec nos clients. Imprimez-la ou copiez-la dans un courriel à votre fournisseur.
Quelle version corrige quoi
Octobre a été chargé chez Veeam : une faille critique dans la version 12 le 6 octobre, puis celle-ci dans la version 13 le 27 octobre, et des correctifs pour Veeam Backup for Microsoft 365. Ce tableau résume les builds à viser, d’après les bulletins de Veeam.
| Branche installée | Builds touchés | Corrigé à partir de |
|---|---|---|
| Veeam Backup & Replication 13.1 | 13.1.1.18 et toutes les builds 13.1 antérieures | 13.1.2 (build 13.1.2.57) |
| Veeam Backup & Replication 13.0 | 13.0.2.29 et toutes les builds 13.0 antérieures | 13.0.3 (build 13.0.3.63) |
| Veeam Backup & Replication 12.x | Pas touchée par CVE-2026-108142 | Mais voir la faille du 6 octobre : 12.3.2 P4 (build 12.3.2.4934) |
| Veeam Agent pour Linux 13.1 (géré par VBR) | 13.1.1.4 et builds 13.1 antérieures (CVE-2026-105477) | 13.1.2 (build 13.1.2.11) |
| Veeam Backup for Microsoft 365 | 8.6.0.1102 et builds 8 antérieures (selon la faille) | 8.6 Patch 1 (build 8.6.0.5011) |
Si vous êtes en version 12 : la faille CVE-2025-64393 (9,4, critique), corrigée dans la 12.3.2 P4, permettait à un compte avec le simple rôle Backup Viewer d’exécuter du code sur le serveur. Le Centre canadien pour la cybersécurité et le Centre gouvernemental de cyberdéfense du Québec ont tous deux publié un avis à ce sujet. Veeam rappelle aussi que la version 12 atteindra la fin du support le 28 février 2027 : c’est le bon moment pour planifier le passage à la 13.
Quatre questions pour savoir si vous êtes concerné
🧭 Votre serveur est-il concerné?
Pourquoi le serveur de sauvegarde est une cible de choix
Un groupe de rançongiciel veut deux choses : chiffrer vos données et vous empêcher de les restaurer. Le serveur de sauvegarde lui donne les deux. Des failles précédentes de Veeam Backup & Replication, comme CVE-2024-40711, ont été exploitées par des groupes de rançongiciel après leur divulgation. On l’a vu aussi avec la faille AhsayCBS et avec le rançongiciel qui a visé les sauvegardes d’IDCF Cloud.
La mise à jour règle la faille Veeam du jour. Les quatre couches ci-dessous règlent la suivante, celle qui n’est pas encore publiée.
Quatre couches autour d’un serveur de sauvegarde
Couche 1 · Réseau
Le serveur Veeam est dans un segment à part, joignable seulement depuis quelques postes d’administration. Aucun port ouvert vers Internet.
Couche 2 · Comptes
Comptes Veeam distincts des comptes Windows du domaine, authentification multifacteur et rôles limités (un « Restore Operator » n’a pas besoin d’être administrateur).
Couche 3 · Copie isolée
Au moins une copie immuable ou hors ligne, que le serveur ne peut pas effacer même s’il est pris en otage.
Couche 4 · Restauration testée
Un test de restauration réel, à date fixe, avec le temps mesuré. C’est la seule preuve que tout le reste fonctionne.
Notre page sauvegarde et reprise après sinistre explique comment on bâtit ces couches pour une PME, et notre gestion des serveurs inclut le suivi des mises à jour de logiciels comme Veeam.
Mettre à jour sans casser vos sauvegardes
Quelques réflexes simples pour une mise à jour sans surprise :
- Choisissez un moment hors des tâches planifiées : la mise à jour arrête les services Veeam pendant quelques minutes.
- Sauvegardez la configuration Veeam (fonction « Configuration Backup ») avant de commencer.
- Mettez à jour les composants liés : les agents et les serveurs proxy suivent la console.
- Lancez une tâche manuelle après et vérifiez qu’elle se termine sans erreur.
- Notez le nouveau numéro de build sur votre fiche, avec la date.
Garder un serveur de sauvegarde à jour, c’est aussi savoir quand une tâche échoue ou quand quelqu’un s’y connecte à 3 h du matin. Nos services de cybersécurité incluent l’inventaire de vos logiciels de sauvegarde et de leurs versions, et notre surveillance automatisée 24/7 avec intervention du technicien de garde signale les connexions inhabituelles et les arrêts de services sur les serveurs surveillés.
Réservez votre Bilan cyber gratuit
Vous ne savez pas quelle version de Veeam roule chez vous, ou si votre serveur de sauvegarde est joignable depuis Internet? Le Bilan cyber gratuit fait le point sur vos sauvegardes, leur isolation et les correctifs à appliquer en premier.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Sources
- Veeam, KB4948 : Vulnerabilities Resolved in Veeam Backup & Replication 13.1.2 (27 octobre 2026) (en anglais)
- Veeam, KB4957 : Vulnerabilities Resolved in Veeam Backup for Microsoft 365 8.6 (en anglais)
- Veeam, KB4934 : Vulnerabilities Resolved in Veeam Backup & Replication 12.3.2 P4 (6 octobre 2026) (en anglais)
- Centre canadien pour la cybersécurité, avis AV26-1009 (en anglais)
- Centre gouvernemental de cyberdéfense du Québec, CERTQC-AVIS-2026-375
- Rapid7, fiche CVE-2026-108142 (en anglais)
Photo : Marta Branco, Pexels (licence Pexels).