Pourquoi cet avis mérite une attention particulière
Les serveurs de sauvegarde disposent souvent de droits étendus et d’un accès à des données essentielles. Le bulletin CERTFR-2026-AVI-1399 mentionne notamment des risques d’exécution de code à distance, de divulgation de données et d’élévation de privilèges. Il ne signifie pas que toutes les installations sont exploitables de la même façon.
Une faille critique dans Backup & Replication
Parmi les failles documentées, CVE-2026-108142 est évaluée à 9,1/10 par Veeam. Elle permet à un attaquant non authentifié de contourner l’autorisation sur le service CDP Coordinator dans des configurations concernées. La présence et l’exposition de ce service doivent être vérifiées avant de qualifier le risque local.
Quelles versions vérifier ?
| Produit | Seuil correctif mentionné par le CERT-FR |
|---|---|
| Veeam Backup & Replication 13.0.x | 13.0.3 (build 13.0.3.63) |
| Veeam Backup & Replication 13.1.x | 13.1.2 (build 13.1.2.57) |
| Veeam Agent pour Linux | 13.1.2 (build 13.1.2.11) |
| Veeam Backup pour Microsoft 365 | 8.6 Patch 1 (build 8.6.0.5011) |
| Veeam ONE | 13.1 P1 (build 13.1.0.7940) |
Ces seuils correspondent à l’avis du 28 octobre. Pour une autre branche, un autre mode d’installation ou une migration en cours, consultez le bulletin Veeam propre au produit. Veeam précise notamment des précautions particulières pour les migrations Windows vers Linux.
Plan d’action sans compromettre la restauration
- Inventorier : noter les versions et builds exacts, les consoles, agents et intégrations utilisés.
- Prioriser : identifier les services exposés, les accès administrateurs et les composants potentiellement concernés.
- Protéger les sauvegardes : vérifier la présence de copies isolées ou immuables et tester une restauration avant toute modification importante.
- Préparer la mise à jour : lire les notes de version et les prérequis, prévoir une fenêtre de maintenance et une possibilité de retour arrière documentée.
- Appliquer les correctifs : utiliser uniquement les téléchargements et procédures officiels Veeam, puis contrôler les tâches de sauvegarde et de restauration.
- Examiner les traces : en cas de signe de compromission, conserver les journaux et investiguer ; la mise à jour n’efface pas les actions éventuellement déjà réalisées.
La sécurité des sauvegardes ne s’arrête pas au correctif
Une sauvegarde n’a de valeur que si elle est récupérable. Documenter les restaurations, restreindre les droits, surveiller les échecs et distinguer les dépôts de sauvegarde des systèmes de production réduit les risques opérationnels.
Avec la Veille logiciels TechAtelier, les équipes peuvent organiser l’inventaire des versions et le suivi des mises à jour. Cet outil ne remplace pas la documentation de l’éditeur ni un test de restauration.
Sources officielles
- CERT-FR — Avis du 28 octobre 2026
- Veeam — Versions et correctifs Backup & Replication 13
- Veeam — Bulletin de sécurité KB4948
- Veeam — Bulletin de sécurité KB4951
- Veeam — Bulletin de sécurité KB4957
Publié le 29 octobre 2026.