Ce qu’il faut retenir
Veeam a publié un avis (KB4957) corrigeant quatre vulnérabilités dans Veeam Backup for Microsoft 365, dont une jugée critique (CVSS v4.0 9.0). Elles pourraient, dans certaines conditions, permettre l'accès à des données de sauvegarde ou la prise de contrôle partielle du serveur concerné. Des correctifs existent : la version 8.6 (build 8.6.0.1102) et la version 8.6 Patch 1 (build 8.6.0.5011). L'avis ne précise pas si ces failles sont déjà exploitées, mais rappelle que les attaquants analysent souvent les correctifs pour en tirer parti. Une mise à jour planifiée rapidement est donc pertinente.
Qui est concerné ?
| Constructeur | Veeam |
| Versions concernées | Veeam Backup for Microsoft 365 : 8.5.0.1014 et versions 8 antérieures (CVE-2026-106076 et CVE-2026-106077) 8.6.0.1102 et versions 8 antérieures (CVE-2026-106078 et CVE-2025-64394) |
| Source | Avis officiel Veeam (KB4957) |
Les organisations qui utilisent Veeam Backup for Microsoft 365. CVE-2026-106076 et CVE-2026-106077 touchent les versions 8.5.0.1014 et toutes les versions 8 antérieures. CVE-2026-106078 et CVE-2025-64394 touchent les versions 8.6.0.1102 et toutes les versions 8 antérieures. Les versions non prises en charge n'ont pas été testées par l'éditeur mais sont probablement concernées. L'exposition à Internet des serveurs n'est pas précisée : Information non précisée dans la source consultée.
Quel est le risque concret ?
Gravité technique : le score le plus élevé est de 9.0 (critique, CVE-2026-106076). Il faut toutefois être authentifié en tant que pair de transfert d'organisation pour l'exploiter. Dans ce cas, un attaquant pourrait injecter des commandes dans la base de configuration, accéder aux données entre locataires (clients ou entités distincts) et exécuter du code à distance avec le compte de service PostgreSQL. CVE-2026-106077 (8.3, élevée) permet à un Administrator de lire des fichiers arbitraires du serveur avec les privilèges LocalSystem. CVE-2026-106078 (6.9, moyenne) permet à un attaquant non authentifié de contourner l'authentification de l'API REST avec un jeton falsifié et d'obtenir des réponses de certains points d'accès. CVE-2025-64394 (4.3, moyenne) permet à un utilisateur local peu privilégié d'écrire des fichiers avec les privilèges SYSTEM pendant l'installation, avec un risque d'élévation de privilèges ou de déni de service. Impact métier potentiel : atteinte à la confidentialité des données de sauvegarde Microsoft 365, y compris entre entités distinctes, et perturbation de la fiabilité de la sauvegarde. L'avis ne précise pas si ces impacts se sont produits : Information non précisée dans la source consultée.
Priorité de traitement
Justification : La criticité est élevée (CVSS 9.0 pour la faille principale), le produit protège des données de sauvegarde sensibles, des correctifs sont disponibles et aucun contournement n'existe. La faille la plus grave exige toutefois une authentification, et l'exposition à Internet comme l'exploitation active ne sont pas précisées dans la source. Cela justifie un traitement rapide plutôt qu'une urgence immédiate, avec une réévaluation si de nouvelles informations apparaissent.
Que faut-il faire ?
- Identifier les installations de Veeam Backup for Microsoft 365 et leur version.
- Mettre à jour vers Veeam Backup for Microsoft 365 8.6 (build 8.6.0.1102) pour corriger CVE-2026-106076 et CVE-2026-106077.
- Mettre à jour vers Veeam Backup for Microsoft 365 8.6 Patch 1 (build 8.6.0.5011) pour corriger CVE-2026-106078 et CVE-2025-64394.
- Aucun contournement n'est indiqué par l'éditeur : la mise à jour est la seule mesure officielle connue.
- Consulter l'avis officiel : https://www.veeam.com/kb4957
Recommandation Chrysalead
Vérifier les versions déployées et planifier rapidement la mise à jour vers la version 8.6 Patch 1 (build 8.6.0.5011), après les tests habituels. Entre-temps, limiter l'accès au serveur de sauvegarde et aux comptes d'administration aux personnes qui en ont réellement besoin.
Détails techniques
| CVE | CVE-2026-106076, CVE-2026-106077, CVE-2026-106078, CVE-2025-64394 |
| Constructeur | Veeam |
| Score CVSS | 9.0 / Critical |
| Exploitation connue | Non indiquée dans l’avis |
| Versions corrigées | Version 8.6 (build 8.6.0.1102) pour CVE-2026-106076 et CVE-2026-106077 Version 8.6 Patch 1 (build 8.6.0.5011) pour CVE-2026-106078 et CVE-2025-64394 |
| Contournement (workaround) | Aucun contournement indiqué par l’éditeur |
| Extrait de la source (en anglais) | Titre officiel : Vulnerabilities Resolved in Veeam Backup for Microsoft 365 8.6 (KB4957, publie le 27 octobre 2026). CVE-2026-106076 : severite critique, CVSS v4.0 9.0. Un pair de transfert d'organisation authentifie peut injecter du SQL dans la base de configuration du serveur source, ce qui permet l'acces aux donnees entre locataires et l'execution de code a distance avec le compte de service PostgreSQL. Versions affectees : 8.5.0.1014 et toutes les… |
Sources
- Injection SQL
- Technique qui consiste à glisser des commandes dans une application pour lui faire lire ou modifier sa base de données de façon non prévue.
- Exécution de code à distance
- Possibilité de faire exécuter des commandes sur un serveur depuis un autre poste, sans y être physiquement présent.
- Accès entre locataires
- Accès aux données d'une entité (client, filiale, organisation) par une autre, alors qu'elles devraient rester séparées.
- Jeton de fédération falsifié
- Fausse preuve d'identité numérique, fabriquée pour se faire passer pour un utilisateur légitime auprès d'un service.
- API REST
- Interface qui permet à des logiciels de dialoguer entre eux via le réseau.
- Élévation de privilèges
- Fait d'obtenir plus de droits que ceux accordés au départ, par exemple passer d'un compte limité à un compte quasi administrateur.
- LocalSystem / SYSTEM
- Compte interne de Windows disposant de droits très étendus sur la machine.
- CVSS
- Note de 0 à 10 qui mesure la gravité technique d'une faille. Elle ne reflète pas à elle seule l'impact réel sur l'entreprise.
Analyse rédigée par Chrysalead à partir de l’avis officiel de l’éditeur, avec l’aide d’outils d’IA. Ces informations sont générales : consultez l’avis officiel et adaptez-les à votre environnement avant toute décision.