Kritische RCE-Lücke in Veeam Backup & Replication: Patch seit 9. Juni dringend nötig
Veeam hat am 9. Juni 2026 ein Sicherheitsupdate für Backup & Replication veröffentlicht, das eine kritische Schwachstelle schließt. Die Lücke erlaubt es einem gewöhnlichen, niedrig privilegierten Domänenbenutzer, beliebigen Code auf dem Backup-Server auszuführen. Für Unternehmen, die Veeam einsetzen, gehört das Update damit auf die höchste Prioritätsstufe.
Was genau steckt hinter der Lücke
Die Schwachstelle trägt die Kennung CVE-2026-44963 und wurde von Sina Kheirkhah von der Sicherheitsfirma WatchTowr entdeckt und gemeldet. Veeam bewertet sie als kritisch mit einem CVSS-v4-Wert von 9,4. Betroffen ist Veeam Backup & Replication 12.3.2.4465 sowie jeder frühere Build der Version-12-Serie. Veeam weist ausdrücklich darauf hin, dass auch nicht mehr unterstützte, ältere Versionen als verwundbar gelten, selbst wenn sie nicht eigens getestet wurden.
Entscheidend für die Einordnung des Risikos ist die Zugriffshürde: Ein Angreifer benötigt keine Administratorrechte. Ein normales, authentifiziertes Domänenkonto reicht aus, um Code aus der Ferne auf dem Backup-Server auszuführen. Die Lücke betrifft dabei ausschließlich Backup-Server, die in eine Windows-Active-Directory-Domäne eingebunden sind. Server, die im Workgroup-Modus betrieben werden, sind nicht betroffen. Veeam empfiehlt diesen Betriebsmodus zwar schon länger als Best Practice, in der Praxis sind aber viele Installationen aus Verwaltungsgründen trotzdem domänengebunden.
Die neue Version 13.x von Veeam Backup & Replication ist von dieser Schwachstelle laut Hersteller durch grundlegende architektonische Änderungen nicht betroffen.
Warum das besonders brisant ist
Backup-Server sind seit Jahren ein bevorzugtes Ziel von Ransomware-Gruppen. Wer die Kontrolle über den Backup-Server erlangt, kann sensible Daten abgreifen, sich im Netzwerk lateral weiterbewegen und vor allem die Wiederherstellungsmöglichkeiten des Opfers zerstören, indem er Backups löscht oder verschlüsselt. Genau das verschafft Angreifern bei einer anschließenden Lösegeldforderung die stärkste Verhandlungsposition. Die US-Behörde CISA hat in der Vergangenheit bereits vier verschiedene Veeam-Schwachstellen als aktiv ausgenutzt eingestuft, unter anderem durch die Ransomware-Gruppen Akira, Fog und Frag sowie durch die Gruppe FIN7.
Zur aktuellen Lücke gibt es nach Angaben von Sicherheitsforschern bereits einen öffentlich auf GitHub verfügbaren Proof-of-Concept-Exploit. Berichte über eine tatsächliche Ausnutzung in freier Wildbahn liegen bislang nicht vor, Veeam selbst weist aber darauf hin, dass Angreifer veröffentlichte Patches erfahrungsgemäß zurückentwickeln, um daraus Exploits für ungepatchte Installationen zu bauen. Das Zeitfenster zwischen Patch-Veröffentlichung und den ersten Angriffsversuchen war bei früheren Veeam-Lücken oft kurz.
Veeam-Produkte sind nach Unternehmensangaben bei mehr als 550.000 Organisationen weltweit im Einsatz, darunter 82 Prozent der Fortune-500-Unternehmen und 74 Prozent der Global-2000-Firmen. Das macht die Software zu einem besonders attraktiven Ziel.
- Installierte Veeam-Backup-&-Replication-Version umgehend prüfen und auf 12.3.2.4854 aktualisieren
- Vor dem Update Wartungsfenster, laufende Backup-Jobs und die Verfügbarkeit von Repositories einplanen, damit der Patch-Vorgang selbst keine Wiederherstellungsprozesse unterbricht
- Prüfen, ob der Backup-Server tatsächlich in eine Active-Directory-Domäne eingebunden sein muss, und wenn möglich auf den von Veeam empfohlenen Workgroup-Betrieb umstellen
- Falls eine Domänenanbindung nötig ist, den Zugriff auf den Backup-Server über Netzwerksegmentierung und ein striktes Least-Privilege-Modell einschränken
- Nicht mehr benötigte Domänenkonten, Servicekonten und Gruppenmitgliedschaften regelmäßig aufräumen, da bereits ein einzelnes kompromittiertes Standardkonto als Einstiegspunkt ausreicht
- Backup-Infrastruktur kontinuierlich auf ungewöhnliche Authentifizierungs- und Administrationsaktivitäten überwachen
