Kritische Lücken in Veeam Backup & Replication bedrohen Backups : Sieben Schwachstellen ermöglichen Remote Code Execution auf Backup-Servern

Der Backup-Spezialist Veeam hat Sicherheitsupdates veröffentlicht, um mehrere schwerwiegende Schwachstellen in seiner Software Veeam Backup & Replication zu schließen. Werden diese Lücken ausgenutzt, können Angreifer unter Umständen Remote Code Execution (RCE) auf zentralen Backup-Servern ausführen und damit Zugriff auf sensible Sicherungsdaten erlangen.

Die gemeldeten Sicherheitslücken umfassen mehrere kritische Einfallstore:

• CVE-2026-21666 (CVSS 9,9) – ermöglicht einem authentifizierten Domänenbenutzer RCE auf dem Backup-Server
• CVE-2026-21667 (CVSS 9,9) – ebenfalls RCE durch authentifizierte Domänenbenutzer
• CVE-2026-21668 (CVSS 8,8) – erlaubt das Umgehen von Zugriffsbeschränkungen und Manipulation beliebiger Dateien im Backup-Repository
• CVE-2026-21672 (CVSS 8,8) – ermöglicht lokale Privilegieneskalation auf Windows-basierten Backup-Servern
• CVE-2026-21708 (CVSS 9,9) – erlaubt einem Backup-Viewer RCE mit Rechten des postgres-Benutzers

Darüber hinaus wurden zwei weitere kritische Schwachstellen geschlossen:

• CVE-2026-21669 (CVSS 9,9) – erlaubt RCE auf dem Backup-Server durch authentifizierte Benutzer
• CVE-2026-21671 (CVSS 9,1) – ermöglicht RCE durch Administratoren in High-Availability-Umgebungen

Betroffene Versionen und verfügbare Updates

Die Sicherheitsprobleme betreffen Veeam Backup & Replication Version 12.3.2.4165 sowie alle älteren Builds der Version-12-Reihe. Die meisten Schwachstellen wurden in Version 12.3.2.4465 behoben. CVE-2026-21672 and CVE-2026-21708, sowie die beiden weiteren kritischen Lücken wurden in Version 13.0.1.2067 geschlossen.

Das Unternehmen warnt in seiner Sicherheitsmitteilung ausdrücklich: „Sobald eine Schwachstelle und ein zugehöriger Patch veröffentlicht werden, versuchen Angreifer häufig, den Patch rückzuentwickeln, um ungepatchte Installationen auszunutzen.“ Damit steigt unmittelbar nach der Veröffentlichung eines Updates das Risiko für Systeme, die noch nicht aktualisiert wurden.

Technischer Hintergrund der Veeam-Architektur

Veeam Backup & Replication gehört zu den weltweit am häufigsten eingesetzten Lösungen für virtuelle und physische Datensicherung. Die Software orchestriert Sicherungsprozesse über mehrere zentrale Komponenten.

Im Kern arbeitet die Plattform mit einem Backup-Server, der alle Sicherungsjobs verwaltet. Dieser kommuniziert mit sogenannten Backup-Proxies, die Daten aus virtuellen Maschinen, Hypervisor-Umgebungen oder physischen Systemen auslesen. Die eigentlichen Sicherungsdaten landen anschließend in Backup-Repositories, häufig in Form deduplizierter und komprimierter Backup-Blöcke.

Die Plattform nutzt dafür mehrere Dienste, darunter eine integrierte PostgreSQL-Datenbank, Windows-Dienste, sowie administrative Schnittstellen für Rollen wie Backup Administrator oder Backup Viewer. Genau diese Vielzahl an Komponenten und privilegierten Diensten macht Backup-Systeme zu attraktiven Angriffszielen. Gelingt es Angreifern, über Schwachstellen Code auf dem Backup-Server auszuführen, können sie Sicherungen manipulieren, löschen oder für spätere Angriffe missbrauchen.

Backup-Systeme im Fokus von Ransomware

Die jüngsten Sicherheitslücken sind besonders brisant, weil Backup-Infrastrukturen wie die von Veeam in den vergangenen Jahren wiederholt von Ransomware-Gruppen angegriffen wurden. Ziel solcher Angriffe ist es, die Wiederherstellungsmöglichkeiten eines Unternehmens zu sabotieren.

Angreifer versuchen dabei häufig, zuerst das Produktionsnetzwerk zu kompromittieren und anschließend Backup-Server zu infiltrieren. Werden Sicherungen gelöscht oder verschlüsselt, verlieren Organisationen ihre wichtigste Wiederherstellungsoption.

Schnelles Patchen bleibt entscheidend

Angesichts der hohen CVSS-Bewertungen sollten Administratoren die Updates möglichst schnell installieren. Besonders kritisch sind Umgebungen, in denen Domänenbenutzer Zugriff auf Backup-Server besitzen oder administrative Rollen vergeben wurden.

Neben der Aktualisierung empfehlen Sicherheitsexperten zusätzliche Schutzmaßnahmen:

• Backup-Server strikt vom Produktionsnetz trennen
• Mehrstufige Authentifizierung für Administrationskonten aktivieren
• Zugriff auf Backup-Repositories konsequent einschränken

Backup-Systeme sind nur dann eine verlässliche Sicherheitslinie, wenn sie selbst ausreichend geschützt sind. Die aktuellen Schwachstellen zeigen erneut: Auch die letzte Verteidigungslinie benötigt konsequente Wartung und schnelle Sicherheitsupdates.