Veeam Backup & Replication: משתמש דומיין רגיל יכול להריץ קוד על שרת הגיבוי
ב-9 ביוני 2026 פרסמה Veeam תיקון ל-CVE-2026-44963, חולשה בציון 9.4 בגרסאות 12 של Backup & Replication. כל משתמש דומיין מאומת יכול לנצל אותה, כשהשרת מחובר לדומיין.
TL;DR בקצרה
- CVE-2026-44963 מאפשרת הרצת קוד על שרת הגיבוי למשתמש דומיין מאומת, בציון CVSS v4 של 9.4.
- היא פוגעת ב-Veeam Backup & Replication 12.3.2.4465 ובכל גרסת 12 קודמת. גרסאות 13 לא נפגעות.
- הגרסה המתוקנת היא 12.3.2.4854. Veeam לא מציעה עקיפה, ומזהירה שתוקפים ינסו לפענח את התיקון.
- ב-BleepingComputer כתבו שהפגם חל רק על שרתים מחוברים לדומיין, ושלא דווח על ניצול.
Veeam פרסמה ב-9 ביוני 2026 תיקון ל-CVE-2026-44963, חולשה קריטית בציון 9.4 ב-Veeam Backup & Replication 12. לפי ההודעה של Veeam, היא מאפשרת למשתמש דומיין מאומת להריץ קוד על שרת הגיבוי. החוקר שדיווח עליה הוא Sina Kheirkhah מחברת watchTowr.
מה מאפשרת CVE-2026-44963 ב-Veeam Backup
הרצת קוד מרחוק (RCE) פירושה שהתוקף מריץ פקודות משלו על השרת, ולא רק קורא ממנו מידע. לפי Veeam, התוקף צריך להיות משתמש דומיין מאומת עם הרשאות נמוכות. הוא לא צריך הרשאות ניהול. הציון הוא CVSS v4 של 9.4, והחולשה מקבלת דירוג קריטי.
BleepingComputer מסבירה שהחולשה חלה רק על התקנות שמחוברות לדומיין של Windows. לדבריה, הרבה חברות חיברו את שרת Veeam לדומיין, בניגוד להנחיות היצרן. במקרה כזה, חשבון של עובד רגיל מספיק כדי להגיע לשרת הגיבוי.
הגרסאות הפגיעות הן 12.3.2.4465 וכל גרסת 12 ישנה ממנה. Veeam מציינת שלא בדקה גרסאות שאינן נתמכות, ושהן כנראה פגיעות גם כן. גרסאות 13 חסינות לחולשה, בגלל שינויים בארכיטקטורה שהחלו בגרסה 13.
למה שרת גיבוי הוא יעד, ומה לעשות ב-Veeam Backup
שרת גיבוי מחזיק עותקים של כל הארגון. תוקף ששולט בו יכול למחוק גיבויים או לגנוב מהם נתונים. לכן כנופיות הכופרה מחפשות בו פרצות.
BleepingComputer מזכירה ש-CISA סימנה ארבע חולשות ב-Veeam Backup & Replication כמנוצלות, וכולן שימשו את כנופיות הכופרה. היא מציינת גם את CVE-2024-40711, שכמה כנופיות ניצלו. בחולשה הנוכחית לא דווח על ניצול בפועל נכון ל-9 ביוני.
עד שמתקינים, אפשר לצמצם סיכון. הגבילו את הגישה לשרת הגיבוי לרשת הניהול בלבד, ובדקו אילו חשבונות דומיין יכולים להגיע אליו. זה לא מחליף את התיקון.
Veeam מזהירה שאחרי פרסום תיקון, תוקפים מנסים לפענח אותו כדי לתקוף מערכות שלא עודכנו. היא לא מציעה עקיפה. ההמלצה היחידה היא להתקין את הגרסה העדכנית.
איך מעדכנים ל-12.3.2.4854 ומה קרה מאז
הגרסה המתוקנת היא 12.3.2.4854. את הגרסה המותקנת אפשר לראות בתפריט הראשי, תחת Help ו-About. לפי דף השחרור של Veeam, ה-ISO המעדכן של התיקון מתוארך ל-8 ביוני, וה-ISO להתקנה מלאה ל-9 ביוני.
בדף השחרור יש כמה הנחיות להתקנה. עם Veeam Backup Enterprise Manager, התחילו בו ורק אחר כך עדכנו את שרת הגיבוי. לפני ההתקנה בטלו את החסימה של ה-ISO שהורדתם, בתכונות הקובץ או ב-PowerShell, אחרת ההתקנה עלולה להיכשל. אפשר שתידרש הפעלה מחדש.
ב-6 באוקטובר 2026 פרסמה Veeam את KB4934 ואת גרסה 12.3.2 P4, בנייה 12.3.2.4934. היא סוגרת חולשות אחרות, ובהן CVE-2025-64393, הרצת קוד קריטית בציון 9.4 בשירות Mount. לפי Veeam, גם הבנייה 4854 וכל גרסת 12 ישנה ממנה פגיעות בהן.
מה זה אומר עבורכם
- בדקו גרסה: אם אתם ב-Veeam Backup & Replication 12.3.2.4465 או בגרסה ישנה ממנה, אתם פגיעים.
- עדכנו: עברו ל-12.3.2.4854 לפחות. ב-6 באוקטובר יצאה גם בנייה 12.3.2.4934 (P4) עם תיקונים נוספים.
- בדקו חיבור לדומיין: אם שרת הגיבוי הצטרף לדומיין, חשבון של כל עובד הוא נתיב אפשרי אליו.
- שקלו להפריד: לפי BleepingComputer, Veeam ממליצה מזה זמן להתקין מחוץ לדומיין. בדקו את ההשפעה על הגיבויים לפני מעבר כזה.
- תכננו שדרוג ל-13: גרסאות 13 חסינות לחולשה הזאת, בגלל שינויי ארכיטקטורה.
- מנהלים עסק קטן? המדריך של SecureBack להגנה על עסק קטן.
מקורות והרחבה
- KB4869: Vulnerability Resolved in Veeam Backup & Replication 12.3.2.4854Veeam
- New Veeam vulnerability exposes backup servers to RCE attacksBleepingComputer
- KB4696: Release Information for Veeam Backup & Replication 12.3Veeam
- KB4934: Vulnerabilities Resolved in Veeam Backup & Replication 12.3.2 P4Veeam
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
