Nutzen Angreifer Sicherheitslücken in Veeam One und Service Provider Console erfolgreich aus, können sie Backups durch das Ausführen von Schadcode komplett kompromittieren. Bislang gibt es seitens des Softwareherstellers keine Hinweise, dass Angreifer die Schwachstellen bereits ausnutzen.

Veeam One und Service Provider Console sind Plattformen zum Überwachen und Verwalten von Backup- und Wiederherstellungsdiensten. Um die Integrität von Backups in Unternehmen zu garantieren, sollten Admins zeitnah die reparierten Versionen installieren. Sind Backups beschädigt, können Firmen etwa nach einer Ransomware-Attacke in echte Schwierigkeiten geraten, weil sie dann den Zustand vor der Attacke nicht wiederherstellen können.

Lücke mit Höchstwertung

Den Angaben einer Warnmeldung zufolge ist Veeam One 13.1 unter anderem über eine „kritische“ Schwachstelle (CVE-2026-64633) angreifbar, die mit maximalem CVSS Score 10 von 10 eingestuft ist. Die Beschreibung der Lücke ist sehr knapp und entfernte Angreifer können ohne Authentifizierung Schadcode ausführen.

Ferner können sich Angreifer noch über verschiedene Lücken (etwa CVE-2026-58074 „hoch“) höhere Nutzerrechte aneignen. Die Entwickler versichern, die Ausgabe 13.1.0.7034 repariert zu haben.

Service Provider Console ist einem Beitrag zufolge ebenfalls von einer „kritischen“ Lücke (CVE-2026-58073) betroffen. An dieser Stelle können Angreifer auf Zugangsdaten zugreifen. Über weitere Schwachstellen sind unter anderem DoS-Attacken möglich (CVE-2026-58067 „hoch“). Dagegen ist laut Aussage der Entwickler Veeam Service Provider Console 9.3.0.35057 gerüstet.

Ende Juli haben die Entwickler in der Backuplösung Veeam Backup & Replication eine Rechteausweitungslücke geschlossen.

(des)