Veeam Backup & Replication : corriger la faille critique CVE-2026-108142 sur le CDP Coordinator

Le 27 octobre 2026, Veeam a publié un correctif pour la faille CVE-2026-108142, une vulnérabilité critique (CVSS v4.0 : 9.1) dans le CDP Coordinator Service de Veeam Backup & Replication. Un attaquant non authentifié, accessible par le réseau, peut contourner les contrôles d'autorisation du service de coordination CDP (Continuous Data Protection) sans fournir d'identifiants. Les versions 13.1.2 (build 13.1.2.57) et 13.0.3 (build 13.0.3.63) corrigent cette vulnérabilité, signalée via HackerOne (advisory KB4948). Ce tutoriel vous explique comment vérifier votre version, appliquer la mise à jour et durcir les configurations de votre infrastructure de sauvegarde.

Si vous administrez un serveur dédié ou un VPS Windows Server avec Veeam Backup & Replication, la mise à jour est prioritaire. L'absence d'authentification requise pour exploiter la faille rend l'attaque triviale dès lors que le port du CDP Coordinator (par défaut 6185) est accessible depuis le réseau. Les administrateurs qui hébergent leur infrastructure Veeam sur un serveur dédié en data center doivent agir immédiatement.

Contexte de la vulnérabilité CVE-2026-108142

Veeam Backup & Replication est un logiciel de sauvegarde et de réplication de données pour environnements virtualisés et physiques. Il prend en charge les principaux hyperviseurs du marché (VMware ESXi, Microsoft Hyper-V, Proxmox VE), les serveurs physiques sous Microsoft Windows ou Linux (Debian, Ubuntu, Red Hat), ainsi que les charges applicatives critiques : bases SQL Server, contrôleurs Active Directory, serveurs de fichiers et clusters. Les machines virtuelles (VMs) hébergées sur ces hyperviseurs sont protégées par des backups incrémentaux et par la réplication CDP.

Le composant CDP Coordinator Service orchestre les opérations de Continuous Data Protection : il coordonne la réplication en temps réel des machines virtuelles entre l'infrastructure source et l'infrastructure cible, avec un RPO (Recovery Point Objective) de quelques secondes. Ce service écoute sur le port 6185 et communique avec les agents CDP installés sur les hyperviseurs virtuels.

La faille CVE-2026-108142 permet à un attaquant non authentifié de contourner les contrôles d'autorisation du CDP Coordinator Service. Le vecteur d'attaque est réseau (AV:N dans le vecteur CVSS), ce qui signifie que tout système capable d'atteindre le port du service CDP sur le serveur Veeam peut tenter l'exploitation, sans identifiant ni mot de passe. L'impact est élevé sur l'intégrité et la disponibilité du système d'exploitation hôte et des composants connectés.

Versions concernées et versions corrigées

La faille touche exclusivement les branches 13.0 et 13.1 de Veeam Backup & Replication, sous Windows Server comme sous Veeam Software Appliance (Linux). Les anciennes branches (12.x et antérieures) ne sont pas concernées par cette vulnérabilité.

Veeam a publié le même jour des correctifs pour quatre autres vulnérabilités :

• CVE-2026-108140 et CVE-2026-108141 (CVSS 5.9, Medium) : un utilisateur authentifié avec le rôle Restore Operator contrôlant un partage NAS peut écrire des fichiers arbitraires sur le serveur de sauvegarde via un path traversal relatif ;
• CVE-2026-105477 (CVSS 7.3, High) : élévation de privilèges locale dans Veeam Agent for Linux 13.1, corrigée en 13.1.2 (build 13.1.2.11). Les serveurs Linux sous Debian et Ubuntu avec l'agent installé en root sont concernés ;
• CVE-2026-107671 (CVSS 8.5, High) : un administrateur Veeam ONE disposant d'identifiants valides peut désactiver l'authentification multi-facteurs globalement avant la vérification MFA, corrigée en Veeam ONE 13.1 P1 (build 13.1.0.7940).

Environnements à risque et composants concernés

Le CDP Coordinator est un composant central pour les administrateurs qui utilisent la réplication continue de machines virtuelles. Voici les environnements virtuels et physiques directement exposés si le service n'est pas mis à jour :

• Hyperviseur VMware ESXi : les VMs répliquées en CDP entre deux hôtes ESXi ou deux clusters vSphere passent par le CDP Coordinator. Un attaquant qui compromet ce service peut interrompre la réplication ou accéder aux données des machines virtuelles protégées ;
• Hyperviseur Microsoft Hyper-V : même scénario pour les VMs Windows Server et Linux hébergées sur Hyper-V. Le CDP Coordinator gère la file d'attente des I/O de réplication entre les périphériques de stockage source et cible ;
• Proxmox VE : si vous utilisez Veeam pour protéger vos VMs Proxmox sur un serveur dédié dimensionné pour la virtualisation, le CDP Coordinator est le point de coordination de la réplication temps réel ;
• Serveurs physiques : Veeam Agent protège les serveurs physiques (bare-metal) sous Microsoft Windows et Linux. L'agent communique avec le serveur Veeam via le réseau, et une compromission du Coordinator peut affecter les jobs de sauvegarde de ces machines ;
• Applications critiques : les workloads applicatifs protégés par Veeam (bases SQL Server, contrôleurs Active Directory, serveurs Exchange, clusters de fichiers) dépendent de la chaîne de sauvegarde. Si le CDP Coordinator est compromis, la continuité des backups et la capacité de restauration de ces services sont menacées.

Si votre infrastructure héberge des machines virtuelles de production dans un data center, la surface d'attaque est d'autant plus large que le réseau de gestion est partagé entre plusieurs services. Les processeurs, la RAM et l'espace de stockage alloués à l'infrastructure de sauvegarde ne servent à rien si le service de coordination est compromis.

Vérifier la version installée

Avant d'appliquer le correctif, identifiez la version exacte de Veeam Backup & Replication installée sur votre serveur. Deux méthodes selon votre environnement Windows Server :

Depuis la console Veeam (interface graphique)

Ouvrez la console Veeam Backup & Replication, cliquez sur le menu hamburger en haut à gauche, puis sur Help > About. Le numéro de build complet s'affiche (par exemple 13.1.1.18). Comparez-le au tableau ci-dessus.

Depuis PowerShell (ligne de commande Windows Server)

En cas d'accès distant uniquement (RDP ou PowerShell Remoting), interrogez le registre Windows en ligne de commande :

Get-ItemProperty "HKLM:\SOFTWARE\Veeam\Veeam Backup and Replication" | Select-Object -Property CoreVersion

La propriété CoreVersion renvoie le numéro de build complet. Si la valeur est inférieure ou égale à 13.1.1.18 (branche 13.1) ou 13.0.2.29 (branche 13.0), votre installation est vulnérable.

Depuis SSH (Veeam sur Linux Appliance)

Si vous utilisez Veeam Backup & Replication sous forme d'appliance Linux (Debian ou Ubuntu), connectez-vous en SSH avec un compte disposant d'un accès root ou sudo, puis vérifiez la version du paquet :

dpkg -l | grep veeam

Le numéro de version affiché dans la colonne correspondante doit être 13.1.2 ou 13.0.3 après mise à jour.

Appliquer la mise à jour

Téléchargez le correctif depuis votre compte Veeam (portail client). Les mises à jour cumulatives de Veeam Backup & Replication sont des installeurs complets qui se lancent par-dessus l'installation existante. Cette procédure s'applique au serveur Microsoft Windows hébergeant Veeam :

1. Sauvegardez la configuration Veeam : dans la console, ouvrez Configuration Backup et lancez une sauvegarde manuelle. Ce fichier contient la base de données de configuration, les jobs, les credentials chiffrées et les paramètres de réplication. Vérifiez que l'espace disque du volume de destination est suffisant ;
2. Vérifiez qu'aucun job n'est en cours : un job de sauvegarde ou de réplication CDP actif pendant la mise à jour peut échouer et laisser des points de restauration incomplets. Administrer la file d'attente des jobs depuis la console avant de lancer l'installeur ;
3. Lancez l'installeur sur le serveur Veeam. L'assistant détecte l'installation existante et propose une mise à jour en place. Aucune désinstallation n'est nécessaire. Si le serveur héberge aussi une base SQL Server locale pour la configuration Veeam, l'installeur met à jour le schéma de la base ;
4. Redémarrez les services : l'installeur redémarre automatiquement les services Veeam (Veeam Backup Service, Veeam CDP Coordinator Service, etc.) sur le système d'exploitation Windows Server. Un redémarrage complet du serveur n'est requis que si l'installeur le demande explicitement ;
5. Mettez à jour les composants distants : si vous utilisez des proxy de sauvegarde, des repositories d'espace de stockage ou des agents Veeam sur d'autres serveurs virtuels ou physiques, la console propose de configurer leur mise à jour automatiquement lors du premier lancement après la migration du serveur principal.

Après la mise à jour, vérifiez le numéro de build via la commande PowerShell ou SSH ci-dessus. La valeur attendue est 13.1.2.57 ou 13.0.3.63 selon votre branche.

Configurer les restrictions d'accès au CDP Coordinator Service

La mise à jour corrige la faille, mais les administrateurs doivent aussi configurer des restrictions réseau sur le CDP Coordinator Service pour limiter son exposition, qu'il y ait ou non une vulnérabilité connue :

• Pare-feu Windows Server : configurez les règles entrantes du Pare-feu Windows pour n'autoriser les connexions sur le port 6185 (CDP Coordinator) qu'aux seules adresses IP des hôtes hyperviseurs (VMware ESXi, Microsoft Hyper-V, Proxmox VE) qui participent à la réplication CDP. Sur un VPS Windows Server, cette restriction se configure dans le Pare-feu Windows avec fonctions avancées de sécurité ;
• Segmentation réseau et DNS : placez le serveur Veeam dans un VLAN de gestion dédié, séparé du réseau de production. Les serveurs de jeu, les sites web et les autres services applicatifs ne doivent pas pouvoir résoudre le DNS ni joindre directement le serveur de sauvegarde. Sur un cluster de serveurs dédiés hébergés en data center, la segmentation réseau est la première barrière ;
• Surveillance des connexions : surveillez les connexions entrantes sur les ports du CDP Coordinator et du Veeam Backup Service. Toute connexion provenant d'une adresse IP non autorisée doit déclencher une alerte. Sous Microsoft Windows, l'audit des connexions se configure via les stratégies de groupe (GPO Active Directory) ou via l'Observateur d'événements.

Protéger et administrer son infrastructure de sauvegarde

Le serveur Veeam est un composant critique de votre infrastructure. S'il est compromis, l'attaquant peut supprimer ou chiffrer vos backups et vos données de réplication, rendant toute restauration impossible. Le chiffrement des sauvegardes par l'attaquant (ransomware) est le scénario le plus redouté. Quelques principes de durcissement pour les administrateurs :

• Mises à jour régulières : Veeam publie des correctifs de sécurité plusieurs fois par an. Abonnez-vous aux notifications de sécurité Veeam (KB articles, flux RSS) pour être informé dès qu'un correctif critique est disponible. Sur vos VPS Linux, automatisez les mises à jour de sécurité du système d'exploitation avec unattended-upgrades ;
• Backups hors site avec chiffrement : conservez au moins une copie de vos sauvegardes sur un espace de stockage distant, déconnecté du réseau Veeam. Activez le chiffrement AES-256 sur les jobs de backup pour protéger les données en transit et au repos. La règle 3-2-1 (trois copies, deux supports différents, une copie hors site) reste la référence. Notre guide sur les sauvegardes et haute disponibilité sur serveur dédié détaille cette approche. Pour le chiffrement des sauvegardes sur Linux, consultez notre guide pour chiffrer les sauvegardes hors site ;
• Principe du moindre privilège : n'attribuez le rôle Backup Administrator qu'aux comptes qui en ont besoin. Les opérateurs de restauration (Restore Operator) ne doivent pas disposer de droits d'administration sur le serveur Veeam, d'autant plus que deux des CVE corrigées dans cette même vague (CVE-2026-108140 et CVE-2026-108141) exploitent justement ce rôle. Intégrez la gestion des rôles Veeam à votre annuaire Active Directory pour centraliser les configurations d'accès ;
• Surveiller l'espace disque : un repository Veeam qui manque d'espace disque interrompt silencieusement les jobs de sauvegarde. Configurez des alertes sur l'espace de stockage disponible. Sur Linux, notre guide pour surveiller l'espace disque d'un VPS s'applique aussi aux serveurs de stockage ;
• Durcissement du serveur hôte : le serveur Windows Server qui héberge Veeam doit lui-même être durci. Consultez notre guide pour sécuriser un serveur dédié (premiers réglages) et celui pour sécuriser un VPS Windows Server (RDP et pare-feu). Côté évolutivité, prévoyez suffisamment de processeurs et de RAM pour que le serveur Veeam absorbe la charge des jobs de sauvegarde sans ralentir les VMs de production.

Questions fréquentes

Les réponses aux questions les plus courantes sur cette faille et la mise à jour Veeam sont dans la section FAQ ci-dessous.