Veeam Kritik Güvenlik Açıklarını Kapattı: Backup & Replication ve Veeam ONE Güncellendi
Veeam, yedekleme ve altyapı izleme ürünlerini etkileyen kritik güvenlik açıklarını gidermek amacıyla Backup & Replication 13.1.2, 13.0.3 ve Veeam ONE 13.1 P1 güncellemelerini yayınladı. 27 Ekim 2026’da duyurulan yamalar, yetkilendirme kontrollerinin aşılmasından ayrıcalık yükseltmeye ve çok faktörlü kimlik doğrulamanın devre dışı bırakılmasına kadar farklı riskleri ele alıyor. Kurumların etkilenen sürümlerini kontrol ederek uygun güncellemeleri yüklemesi ve güvenlik açıklarından etkilenen bileşenleri yeniden değerlendirmesi gerekiyor.
Veeam Backup & Replication Güncellemesi Yetkilendirme Açığını Kapatıyor
Veeam Backup & Replication 13.1.2 güncellemesi, Windows tabanlı sistemlerde CDP Coordinator hizmetini etkileyen CVE-2026-108142 güvenlik açığını gideriyor. CVSS 4.0 üzerinden 9,1 puan alan açık, kimlik doğrulaması yapılmamış bir saldırganın yetkilendirme denetimini aşmasına neden olabiliyor. Veeam’in güvenlik duyurusuna göre 13.1.1.18 ve önceki 13.1 sürümleri ile 13.0.2.29 ve önceki 13.0 sürümleri etkileniyor.
Şirket, sorunu 13.1.2 sürümünün 13.1.2.57 derlemesinde ve 13.0.3 sürümünün 13.0.3.63 derlemesinde gideriyor. Kaynakta belirtilen bilgilere göre 12.x gibi daha eski ana sürümler bu güvenlik açığından etkilenmiyor. Yedekleme altyapısında CDP Coordinator hizmetini kullanan kuruluşların kurulu sürümü kontrol etmesi ve uygun düzeltmeyi uygulaması önem taşıyor.
Yedekleme Sunucusunda Dosya Yazma Riskini Gideren Yamalar Yayınlandı
Veeam Backup & Replication ürünündeki CVE-2026-108140 ve CVE-2026-108141 açıkları, belirli yetkilere sahip kullanıcıların yedekleme sunucusunda saldırgan kontrollü dosyalar oluşturmasına yol açabiliyor. CVSS 4.0 üzerinden 5,9 puan alan bu sorunlardan yararlanmak için saldırganın Restore Operator rolüne sahip olması ve korumalı NAS paylaşımının içeriğini kontrol edebilmesi gerekiyor. Göreli yol geçişi tekniğine dayanan saldırı, dosyaların sunucuda hedeflenen konumlara yazılmasına neden olabiliyor.
Güvenlik açıkları, Windows tabanlı Veeam Backup & Replication 13.1.1.18 ve önceki 13.1 sürümlerini, ayrıca 13.0.2.29 ve önceki 13.0 sürümlerini etkiliyor. Veeam, iki sorunu da 13.1.2 build 13.1.2.57 ve 13.0.3 build 13.0.3.63 sürümleriyle gideriyor. Yedekleme sunucularında kullanıcı rollerinin sınırlandırılması ve NAS paylaşım izinlerinin gözden geçirilmesi, güncelleme sürecine eşlik etmesi gereken güvenlik adımları arasında yer alıyor.
Veeam Agent for Linux bileşeninde tespit edilen CVE-2026-105477 açığı, yerel bir saldırganın sistemdeki ayrıcalıklarını yükseltmesine olanak tanıyabiliyor. CVSS 4.0 üzerinden 7,3 puan alan güvenlik sorunu, yalnızca Veeam Backup & Replication örneği tarafından yönetilen Linux Agent kurulumlarını etkiliyor.
Veeam Agent for Linux 13.1.1.4 ve önceki 13.1 derlemeleri bu kapsamda yer alırken 13.0.x ve 6.x sürümleri kaynakta etkilenmeyen sürümler olarak belirtiliyor. Şirket, açığı 13.1.2 build 13.1.2.11 sürümünden itibaren gideriyor. Linux yedekleme altyapılarını yöneten ekiplerin yalnızca ana Backup & Replication sunucusunu değil, bu sunucunun yönettiği Agent bileşenlerini de güncellemesi gerekiyor.
Veeam ONE 13.1 P1 güncellemesi, CVE-2026-107671 koduyla izlenen ve CVSS 4.0 üzerinden 8,9 puan alan güvenlik açığını kapatıyor. Sorun, geçerli yönetici ayrıcalıklarına sahip bir saldırganın çok faktörlü kimlik doğrulama (MFA) doğrulaması tamamlanmadan önce MFA özelliğini genel olarak devre dışı bırakmasına olanak tanıyabiliyor.
Veeam ONE 13.1.0.7233 ve önceki 13.1 derlemeleri bu açıktan etkileniyor. Şirket, düzeltmeyi 13.1 P1 build 13.1.0.7940 sürümüyle sunuyor. İzleme ve raporlama altyapısında Veeam ONE kullanan kuruluşların güncellemenin yanı sıra yönetici hesaplarını, MFA ayarlarını ve ayrıcalıklı erişim politikalarını da gözden geçirmesi gerekiyor.
Veeam’in yayınladığı düzeltmeler, yedekleme sistemleri ile altyapı izleme yazılımlarındaki farklı saldırı yollarını kapsıyor. Yedekleme sunucularındaki yetkilendirme açıkları, dosya yazma riskleri ve yönetici hesaplarını etkileyen MFA sorunu, kuruluşların yalnızca tek bir ürün sürümüne odaklanmak yerine kullandıkları bütün ilgili bileşenleri kontrol etmesini gerektiriyor.
BT ekipleri öncelikle kurulu ürün ve derleme numaralarını belirlemeli, ardından üreticinin ilgili güvenlik duyurularında yer alan düzeltilmiş sürümlere geçmeli. Güncelleme sonrasında yedekleme hizmetlerinin çalışması, yönetici erişim kontrolleri ve MFA yapılandırmaları doğrulanmalı. Yedekleme altyapısı fidye yazılımı saldırılarından kurtarma süreçlerinde kritik rol oynadığı için güvenlik yamalarının geciktirilmesi, kurumların veri koruma ve iş sürekliliği planlarını da riske atabilir.
