Veeam corrige un bypass crítico en Backup 13.1
CVE-2026-108142 permite eludir la autorización del CDP Coordinator Service en Veeam Backup & Replication 13.1 y 13.0. La compañía publicó los builds corregidos 13.1.2.57 y 13.0.3.63; las versiones 12.x no están afectadas.
Veeam documenta un bypass de autorización sin autenticación en CDP Coordinator Service, componente de Veeam Backup & Replication. La vulnerabilidad, CVE-2026-108142, afecta a dos ramas de la versión 13 y tiene severidad crítica, con una puntuación CVSS v4.0 de 9,1. La noticia tiene un perímetro concreto: no describe un fallo en todas las versiones del producto ni en todos los agentes de backup.
-InfraCrew dice: cuando el coordinador de la protección continua pierde la autorización, el problema no se arregla poniendo más cintas en la biblioteca.-
El punto débil está en el servicio de coordinación
El aviso KB4948 describe que un atacante remoto no autenticado puede eludir los controles de autorización del CDP Coordinator Service. Veeam asigna a la vulnerabilidad impacto alto en integridad y disponibilidad del sistema afectado, pero el vector CVSS no atribuye impacto en confidencialidad. Eso no equivale a decir que cualquier copia de seguridad haya sido leída ni que exista ejecución remota de código: ninguna de esas afirmaciones aparece en el aviso.
La distinción importa porque CDP no es sinónimo de todo el repositorio de copias. La protección continua de datos coordina la replicación con una granularidad más frecuente que un trabajo periódico; el servicio afectado forma parte de esa ruta de control. La alerta se debe tratar como una vulnerabilidad seria del servidor de backup, sin convertir el nombre del producto en una afirmación de que todos sus datos fueron expuestos.
Veeam indica que el problema se comunicó mediante HackerOne. La puntuación 9,1 es crítica, y el vector describe acceso por red sin privilegios ni interacción del usuario, aunque también recoge requisitos de ataque presentes. Ese conjunto justifica priorizar la corrección en instalaciones vulnerables; por sí solo no prueba explotación activa, ransomware ni una brecha de datos. El análisis de SOC Prime añade contexto técnico independiente sobre el fallo y su mitigación, pero la aplicabilidad y los builds se deben resolver con la matriz oficial de Veeam.
-InfraCrew dice: el 9,1 no etiqueta qué build corre; eso lo sabe el inventario y casi nunca vive en una diapositiva.-
-InfraCrew dice: el CVSS sirve para ordenar la cola; no sustituye el inventario que decide qué servidor entra en ella.-
Builds afectados y corrección publicada
La KB de Veeam incluye las instalaciones basadas en Windows y Veeam Software Appliance. En la rama 13.1 están afectadas la versión 13.1.1.18 y las anteriores; en 13.0, la 13.0.2.29 y las anteriores. La nota excluye las versiones 12.x, así que no conviene aplicar esta alerta a toda la base instalada sin comprobar primero la rama y el número de build.
Las versiones corregidas son 13.1.2, build 13.1.2.57, y 13.0.3, build 13.0.3.63. La referencia útil para operaciones es el build instalado, no solo el rótulo general «13.1» o «13.0»: dos servidores dentro de la misma rama pueden quedar a lados distintos del corte. La descarga y el procedimiento de actualización deben corresponder al tipo de despliegue que mantiene cada organización.
El inventario debería incluir el servidor principal, las instancias de appliance y los nodos que participan en la coordinación CDP. Comprueba versión, build y despliegue contra KB4948, y planifica la actualización siguiendo las instrucciones de Veeam para esa instalación. Después, valida que el servicio de coordinación y los trabajos de protección continua vuelvan a operar como se espera; no hay en el aviso una recomendación de deshabilitar CDP ni una mitigación temporal que pueda sustituir al parche.
Qué cambia para el equipo de backup
La alerta toca una pieza central del plano de control de protección, por lo que su prioridad práctica es mayor que la de un componente aislado sin acceso de red. Aun así, la respuesta debe seguir el alcance confirmado: rama afectada, tipo de despliegue y build. Si la instancia está en 12.x, la KB dice que no está afectada por esta CVE; si está en una de las ramas 13.x, hace falta comparar el build exacto con los límites publicados.
La información disponible no permite afirmar que haya una campaña de explotación activa ni que se hayan extraído datos de repositorios. No confundas severidad con evidencia de incidente: si una organización detecta actividad anómala, debe tratarla con sus procedimientos de respuesta y conservar registros, pero esta vulnerabilidad por sí sola no demuestra que haya ocurrido. Para quien opera backup, el siguiente paso respaldado es inventariar el servidor CDP y actualizar a un build corregido, con una comprobación posterior de las tareas protegidas.
Diccionario de la Crew
CDP — Continuous Data Protection; protección que registra o replica cambios con mayor frecuencia que los trabajos periódicos tradicionales.
CVSS — Common Vulnerability Scoring System; sistema que expresa la severidad técnica de una vulnerabilidad mediante una puntuación y un vector.
