Veeam corrige un bypass no autenticado en el CDP Coordinator de Backup & Replication
Veeam corrige CVE-2026-108142 en Backup & Replication 13.1 y 13.0; estas son las ramas afectadas y las builds de actualización.
El aviso KB4948 de Veeam documenta una vulnerabilidad crítica en el CDP Coordinator Service de Backup & Replication. CVE-2026-108142 permite a un atacante que pueda alcanzar el servicio por red saltarse su control de autorización sin iniciar sesión; Veeam publicó las correcciones en las versiones 13.1.2 y 13.0.3 el 27 de octubre.
-InfraCrew dice: cuando la puerta del sistema de copias deja de pedir credenciales, el primer inventario útil es el de quién puede tocar esa puerta desde la red.-
Un bypass con impacto en integridad y disponibilidad
El problema está en el servicio asociado a Continuous Data Protection (CDP), la función de Veeam que mantiene copias continuas para recuperar cambios con una granularidad menor que la de una tarea periódica. El advisory describe un fallo de autorización, no una ejecución remota de código: según Veeam, el atacante puede invocar una operación que el servicio debería haber protegido.
La puntuación publicada por Veeam es 9,1 en CVSS v4.0, con impacto alto en integridad y disponibilidad, pero sin impacto de confidencialidad en el vector que acompaña al boletín. Esa distinción importa: el aviso no dice que el fallo entregue automáticamente privilegios de administrador ni que permita leer todas las copias. Sí coloca en riesgo un componente del plano de protección, donde la alteración o interrupción de operaciones puede complicar la recuperación cuando más falta hace.
-InfraCrew dice: un 9,1 merece una ventana prioritaria; convertirlo en «control total del servidor» sin que el advisory lo diga solo añade ruido al parte.-
Veeam y CERT Santé no informaban de explotación activa ni de una prueba de concepto pública al revisar el caso. La ausencia de esos indicios no reduce la exposición de una instancia vulnerable que acepte conexiones desde redes no confiables, pero sí evita presentar como ataque observado lo que por ahora es un fallo corregido.
Qué instalaciones deben revisar sus operadores
Veeam identifica Backup & Replication 13.1.1.18 y versiones anteriores de la rama 13.1, además de 13.0.2.29 y anteriores de la rama 13.0. Afecta tanto a instalaciones basadas en Windows como a Veeam Software Appliance. La compañía indica que la rama 12.x no está afectada por esta vulnerabilidad concreta; no conviene extrapolar esa excepción a otros fallos del mismo boletín.
La corrección está en 13.1.2, build 13.1.2.57, y en 13.0.3, build 13.0.3.63. El advisory no ofrece una mitigación temporal alternativa. Por eso, el primer paso práctico es identificar la rama y el build reales de cada servidor de backup y contrastarlos con esa matriz, incluidos los appliances que a veces quedan fuera del inventario habitual de Windows.
-InfraCrew dice: «el servidor de copias ya lo actualizamos» no es un dato de versión; es una esperanza con permisos de escritura.-
Prioridad y comprobación posterior
Conviene tratar el cambio como una actualización de la infraestructura de recuperación, no como un parche de escritorio más. Los equipos deben priorizar las instancias vulnerables que puedan recibir tráfico desde segmentos menos confiables y planificar la actualización con el procedimiento soportado por Veeam; el informe no prescribe desactivar CDP ni modificar reglas de red como sustituto del parche.
Después de actualizar, hay que confirmar que el producto informa la build corregida y comprobar que las tareas CDP y los puntos de recuperación vuelven a operar con normalidad. Es una verificación operativa, no una garantía de que una copia concreta sea restaurable: esa confianza sigue dependiendo de las pruebas de recuperación y de la separación de credenciales y redes que ya tenga cada entorno.
Diccionario de la Crew
CDP — Protección continua de datos; registra cambios para reducir el intervalo entre el estado actual y el punto recuperable.
CVSS — Sistema de puntuación que estima la severidad técnica de una vulnerabilidad; la puntuación no prueba explotación ni sustituye el análisis del entorno.
Build — Número de compilación que identifica una versión concreta del producto.
