Ce qu’il faut retenir
Veeam a publié un correctif (12.3.2 P4) pour trois failles de sécurité dans Veeam Backup & Replication, son logiciel de sauvegarde. La plus sérieuse (CVE-2025-64393, score CVSS v4.0 de 9.4, gravité technique critique) permettrait à un utilisateur disposant d'un simple rôle de consultation (Backup Viewer) d'exécuter du code à distance sur le serveur de sauvegarde. Les deux autres sont de gravité moyenne (CVE-2026-93026, 6.1 ; CVE-2025-64392, 4.8). L'avis de l'éditeur ne mentionne aucune exploitation active, mais précise que des attaquants chercheront probablement à analyser le correctif pour cibler les systèmes non mis à jour. L'impact métier potentiel concerne la fiabilité et la confidentialité des sauvegardes de l'entreprise.
Qui est concerné ?
| Constructeur | Veeam |
| Versions concernées | Veeam Backup & Replication 12.3.2.4854 et toutes les versions 12 antérieures La version 13 n’est pas concernée |
| Source | Avis officiel Veeam (KB4934) |
Les organisations utilisant Veeam Backup & Replication 12.3.2.4854 et toutes les versions 12 antérieures. La version 13 n'est pas concernée. Le niveau d'exposition à Internet des serveurs n'est pas précisé : Information non précisée dans la source consultée.
Quel est le risque concret ?
Gravité technique : la faille CVE-2025-64393 est critique (CVSS v4.0 9.4). Elle repose sur le traitement non sécurisé de données non fiables reçues par le Mount Service, ce qui permettrait l'exécution de code à distance sur le serveur Veeam Backup. Elle nécessite un compte Backup Viewer, donc un accès authentifié. CVE-2026-93026 permettrait à un Backup Viewer authentifié de modifier ou supprimer la clé maître d'Enterprise Manager, et de lire ou écraser les identifiants de mise à jour antivirus stockés. CVE-2025-64392 permettrait d'exécuter un script dans le navigateur d'un utilisateur qui ouvre un lien piégé. Impact métier : la prise de contrôle d'un serveur de sauvegarde pourrait affecter la disponibilité, l'intégrité ou la confidentialité des sauvegardes et donc la capacité de reprise après incident. L'ampleur réelle dépend de l'exposition et de la gestion des comptes, ce que la source ne précise pas. Aucune exploitation active n'est mentionnée dans l'avis.
Priorité de traitement
Justification : Le score est élevé (CVSS v4.0 9.4), le produit est critique car il protège les données de sauvegarde, un correctif est disponible et aucun contournement n'existe. L'éditeur prévient aussi que le correctif pourrait être rétro-analysé par des attaquants. En revanche, la source ne mentionne aucune exploitation active, l'exposition Internet n'est pas précisée et la faille principale exige un compte authentifié, ce qui ne justifie pas la priorité maximale à ce stade.
Que faut-il faire ?
- Mettre à jour Veeam Backup & Replication vers la version corrigée 12.3.2 P4 (build 12.3.2.4934).
- Consulter l'avis officiel de l'éditeur : https://www.veeam.com/kb4934.
- Aucun contournement n'étant indiqué par l'éditeur, le correctif est la seule mesure officielle connue.
Recommandation Chrysalead
Identifier les serveurs Veeam Backup & Replication en version 12 et planifier rapidement leur mise à jour vers 12.3.2 P4 (build 12.3.2.4934). Vérifier en parallèle quels comptes disposent du rôle Backup Viewer et si les serveurs sont joignables depuis des réseaux non maîtrisés.
Détails techniques
| CVE | CVE-2025-64393, CVE-2026-93026, CVE-2025-64392 |
| Constructeur | Veeam |
| Score CVSS | 9.4 / Critical |
| Exploitation connue | Non indiquée dans l’avis |
| Versions corrigées | Veeam Backup & Replication 12.3.2 P4 (build 12.3.2.4934) |
| Contournement (workaround) | Aucun contournement indiqué par l’éditeur |
| Extrait de la source (en anglais) | Titre officiel : Vulnerabilities Resolved in Veeam Backup & Replication 12.3.2 P4 (KB4934, 6 octobre 2026). CVE-2025-64393 : severite critique, CVSS v4.0 9.4. Un utilisateur peu privilegie ayant le role Backup Viewer peut executer du code a distance sur le serveur Veeam Backup via une deserialisation non securisee de donnees non fiables recues par le Mount Service. CVE-2026-93026 : severite moyenne, CVSS v4.0 6.1. Un Backup Viewer authentifie peut modifier… |
- Backup Viewer
- Rôle Veeam à faibles privilèges, destiné à consulter les sauvegardes sans les administrer.
- Exécution de code à distance
- Possibilité pour une personne de faire exécuter ses propres commandes sur un serveur depuis un autre poste.
- Désérialisation non sécurisée
- Défaut dans la façon dont un logiciel reconstruit des données reçues : si elles sont malveillantes et non vérifiées, elles peuvent déclencher des actions non prévues.
- Mount Service
- Composant de Veeam utilisé pour accéder au contenu des sauvegardes. La source n'en précise pas davantage.
- Cross-site scripting réfléchi (XSS)
- Technique où un lien piégé fait exécuter un script dans le navigateur de la personne qui l'ouvre.
- Clé maître d'Enterprise Manager
- Information de sécurité qui protège des données sensibles dans Veeam Backup Enterprise Manager. Sa modification ou suppression pourrait perturber cette protection.
- Rétro-analyse du correctif
- Comparaison entre l'ancienne et la nouvelle version d'un logiciel pour comprendre la faille corrigée et tenter de l'exploiter sur les systèmes non mis à jour.
- CVSS
- Score de 0 à 10 mesurant la gravité technique d'une faille. Il ne reflète pas à lui seul l'impact sur l'activité de l'entreprise.
Analyse rédigée par Chrysalead à partir de l’avis officiel de l’éditeur, avec l’aide d’outils d’IA. Ces informations sont générales : consultez l’avis officiel et adaptez-les à votre environnement avant toute décision.