Veeam ONE 13.1 corrige un fallo que permite a un administrador desactivar el MFA antes de validarlo
CVE-2026-107671 permitía a una persona con credenciales válidas de Administrador desactivar el MFA global de Veeam ONE antes de completar la verificación. Afecta a Veeam ONE 13.1 hasta build 13.1.0.7233 y queda corregido en Patch 1, build 13.1.0.7940.
Veeam ONE 13.1 Patch 1 corrige CVE-2026-107671. Veeam publicó la actualización el 27 de octubre. El fallo permitía que una persona con credenciales válidas de Administrador desactivara el MFA global antes de terminar la comprobación multifactor. El detalle importa: no es un acceso sin credenciales ni un bypass remoto que empiece desde cualquier usuario de la red.
Veeam califica la vulnerabilidad como alta, con 8,5 en CVSS 4.0. La ficha del CVE marca vector de red, complejidad baja y privilegios requeridos altos; esa combinación encaja con el escenario publicado: el atacante ya debe controlar una cuenta de Administrador, pero puede esquivar el segundo factor en ese flujo. La debilidad afecta a la frontera entre credenciales y verificación adicional, no a cada instalación de Veeam ni a toda versión de ONE.
El vector de red indica que el flujo puede llegar al servicio a través de la red, pero el propio vector CVSS exige privilegios altos. El advisory no dice que la consola tenga que estar expuesta a Internet; conviene no traducir «network» por «internet-facing» sin evidencia. Tampoco es un bypass previo a toda autenticación: quien lo aprovecha ya debe contar con una cuenta de Administrador válida.
-InfraCrew dice: el segundo factor pierde su turno si la cuenta con permisos para apagarlo llega a la puerta antes que él.-
Versiones afectadas y corrección
El alcance está acotado a Veeam ONE 13.1: la KB4951 incluye la build 13.1.0.7233 y todas las builds anteriores de esa rama. Veeam indica que 13.0.x y 12.x no están afectadas por este CVE. El arreglo está en Veeam ONE 13.1 Patch 1, build 13.1.0.7940, publicada el 27 de octubre.
No conviene identificar el estado por el número “13.1” a secas: hay que inventariar la build instalada y confirmar que llega a 13.1.0.7940 o una versión posterior admitida. La KB4951 es explícita: la solución comienza en Veeam ONE 13.1 P1, build 13.1.0.7940.
-InfraCrew dice: en una ventana de mantenimiento, “13.1” es una respuesta; para cerrar el cambio hace falta la build completa.-
Qué revisar en la consola de monitorización
Veeam ONE observa y reporta infraestructuras conectadas; sus cuentas administrativas forman parte del plano de control operativo. Un atacante con credenciales de Administrador ya parte de una posición privilegiada, pero poder retirar el MFA antes de verificarlo reduce una barrera importante para continuar la sesión. La severidad publicada no convierte ese requisito en opcional.
Quien administre Veeam ONE 13.1 debería confirmar la build, planificar la actualización a 13.1.0.7940 o una versión posterior admitida y después verificar que el MFA sigue habilitado para las cuentas privilegiadas. También es sensato revisar quién puede cambiar esa configuración y consultar los registros de actividad administrativa si existe una razón concreta para sospechar un uso indebido. El aviso no afirma que CVE-2026-107671 se esté explotando activamente, así que no hay base para presentar la corrección como respuesta a una campaña confirmada.
La corrección cubre el producto, pero no limpia las credenciales que ya circulan ni recupera una política de autenticación si alguien la modificó antes del parche. Separar las cuentas con permiso para cambiar MFA de las cuentas de lectura y alertar ante un cambio global ayuda a detectar una degradación de controles. Es una defensa de identidad complementaria; la build vulnerable sigue necesitando la actualización.
La verificación posterior forma parte de la corrección: identificar la build, aplicar Patch 1 dentro del proceso de cambios de Veeam ONE y confirmar que la política de MFA sigue activa. Si la organización no puede parchear inmediatamente, reducir las cuentas con rol de Administrador y vigilar los cambios de MFA acorta el margen de abuso; no sustituye la corrección. Una consola de monitorización también merece controles de acceso propios: conocer el entorno no debería implicar que cualquier operador pueda alterar su autenticación.
-InfraCrew dice: que la herramienta vigile la infraestructura no significa que sus permisos deban vigilarse solos.-
Diccionario de la Crew
- MFA — Autenticación multifactor: requiere más de una prueba de identidad para completar el acceso.
- Veeam ONE — Plataforma de monitorización y reporting para entornos gestionados con productos de Veeam.
- CVSS — Sistema que asigna una puntuación técnica a la severidad de una vulnerabilidad.
- Build — Número concreto de compilación que identifica una versión instalada y sus cambios.
