Veeam a publié un correctif pour CVE-2026-93026 dans Backup Enterprise Manager. La faille nécessite un compte doté du rôle Backup Viewer et pourrait exposer des éléments de configuration sensibles. L’avis de Veeam mentionne la modification d’une clé principale et d’identifiants de mise à jour antivirus, pas l’exécution de code à distance.
Ce que permet la vulnérabilité
Un attaquant disposant du rôle Backup Viewer pourrait modifier la clé principale d’Enterprise Manager et les identifiants utilisés pour les mises à jour antivirus. Le risque concret dépend des personnes pouvant accéder à l’interface et de l’attribution du rôle. Le score CVSS v4 communiqué est de 6,1, soit une gravité moyenne; il ne mesure pas la valeur des identifiants dans un environnement donné.
Repérer les installations concernées
Vérifiez si Backup Enterprise Manager est déployé et comparez sa version à l’avis KB4934 de Veeam. L’éditeur indique que la version 12.3.2.4934 contient le correctif. Suivez les instructions correspondant à votre version, y compris les éventuels prérequis, sans supposer que tous les déploiements Backup & Replication ont la même exposition.
Revoir les rôles attribués
Mettez à jour les installations touchées et confirmez la version active. Vérifiez quels comptes utilisateur et de service disposent de l’accès Backup Viewer, supprimez les droits devenus inutiles et protégez les comptes restants avec une authentification forte. Dans la mesure du possible, limitez l’accès à l’interface de gestion aux réseaux administratifs de confiance.
Évaluer l’exposition des identifiants
Si la version vulnérable était accessible à un compte ou une personne qui n’aurait pas dû avoir ce rôle, examinez les changements de clé principale et de paramètres de mise à jour antivirus. En cas d’exposition plausible, renouvelez les identifiants concernés et consignez les actions dans votre procédure de réponse. L’avis public ne confirme pas une exploitation dans la nature.
Protéger les systèmes de reprise
Les systèmes de gestion des sauvegardes peuvent contenir des identifiants et des réglages nécessaires à la restauration. Conservez les accès administrateur de manière sécurisée, séparément des systèmes protégés, et limitez les personnes autorisées à les consulter ou les modifier. Soclyde aide les équipes à organiser leurs identifiants; il ne corrige pas Veeam et ne sécurise pas un serveur de sauvegarde mal configuré. Consultez le guide du générateur de mots de passe sécurisé pour l’hygiène des comptes.
Les actions à engager
Installez la version corrigée de Veeam, vérifiez les attributions du rôle Backup Viewer et examinez les modifications de configuration sensibles si le système était exposé. Le renouvellement des identifiants répond à une exposition plausible; il ne prouve pas qu’une exploitation a eu lieu.
