Le 25 août 2026, Veeam a publié deux avis de sécurité le même jour : KB4902 pour Backup & Replication, KB4905 pour Veeam ONE. Cinq CVE au total. Rien d’exceptionnel en apparence pour un éditeur qui patche plusieurs fois par an — sauf que l’une de ces failles touche un composant que tu utilises probablement tous les jours sans y penser, et qu’une autre se corrige sans interaction utilisateur depuis le réseau. Si tu gères des sauvegardes Veeam, voici ce qui mérite vraiment ton attention, dans l’ordre.
Ce que corrige KB4902
L’avis KB4902 couvre quatre vulnérabilités dans Backup & Replication, toutes signalées via le programme HackerOne de Veeam. Les correctifs arrivent avec la 13.1 (build 13.1.0.411), la 13.0.3 (13.0.3.63), et pour une des failles, la 12.3.2 Patch 4 (12.3.2.4934).
- CVE-2026-58070 (CVSS v4.0 6.8, moyenne) — les identifiants du compte invité utilisés pour le traitement Application-Aware se retrouvaient enregistrés en clair dans les journaux de la machine invitée. Concerne les versions Windows et l’appliance logicielle, de la 13.0.2.29 et antérieures ; la branche 12.x n’est pas touchée.
- CVE-2026-58069 (CVSS v4.0 8.3, élevée) — lecture arbitraire de fichiers sur l’hôte du fournisseur de services, exploitable par un locataire Cloud Connect authentifié. C’est celle qui doit inquiéter les MSP : un seul client malveillant ou compromis peut lire des fichiers côté hébergeur. Touche à la fois la 13.0.2.29- et la 12.3.2.4854-.
- CVE-2026-58068 (CVSS v4.0 6.8, moyenne) — déni de service sur des processus système via Veeam Agent for Microsoft Windows. Le champ de versions affectées remonte jusqu’à la branche 6, ce qui en dit long sur l’ancienneté de certains agents encore déployés en prod.
- CVE-2025-64391 (CVSS v4.0 4.1, moyenne) — un utilisateur local peut écrire un fichier arbitraire en tant que SYSTEM en manipulant des points de montage et des liens symboliques pendant l’installation de l’agent.
Le détail qui compte vraiment, c’est la mitigation donnée pour la 58070 : le patch empêche l’écriture de nouveaux mots de passe en clair dans les journaux, mais il ne nettoie pas ceux déjà présents. Si tu utilises le traitement Application-Aware sur des VM sensibles, change les identifiants concernés — patcher ne suffit pas à effacer ce qui est déjà loggé sur le disque.
Veeam ONE : la vraie urgence, CVSS 9.3
KB4905 publié le même jour est plus simple à résumer, et plus inquiétant. CVE-2026-65641 permet à un attaquant réseau non authentifié de forcer une authentification SMB depuis le compte de service de Veeam ONE — sans qu’aucun utilisateur n’ait à cliquer sur quoi que ce soit. Score CVSS v4.0 de 9,3, classé critique. Ça touche Veeam ONE 13.1.0.7034 et les builds 13 antérieures (la branche 12.x est épargnée), corrigé en 13.1 Patch 0 (build 13.1.0.7233) et 13.0.2 Patch 1 (13.0.2.7159).
Un attaquant qui obtient un hash NTLM via coercition SMB peut ensuite tenter un relais vers un autre service, ou simplement craquer le hash hors ligne. Sur un compte de service qui tourne souvent avec des droits étendus sur Active Directory, c’est exactement le genre de faille qu’on ne laisse pas traîner un trimestre avant de patcher.
Si tu es encore sur la branche 12, ce n’est pas la première fois cette année
Remonte un peu dans le calendrier 2026 et le tableau devient moins confortable. En mars, CVE-2026-21708 (injection SQL dans le Backup Viewer, CVSS 9.9) permettait une exécution de code sous l’utilisateur postgres — et touchait à la fois la 12.x et les premières builds 13.x. En juin, CVE-2026-44963 (CVSS 9.4) ouvrait une RCE sur le serveur de sauvegarde pour n’importe quel utilisateur de domaine authentifié, mais cette fois seulement sur la branche 12 : les changements d’architecture de la 13.x l’ont rendue immune de fait, sans correctif dédié nécessaire côté 13. Trois vagues de failles critiques en six mois sur la même branche, ça commence à ressembler moins à de la malchance qu’à une dette technique qu’il devient urgent de solder.
On a déjà détaillé les nouveautés fonctionnelles de la 13.1 — restauration de forêt AD, chiffrement post-quantique, support hyperviseurs élargi : la bascule depuis la 12.x n’est plus seulement un confort pour ces fonctionnalités, c’est une réduction mesurable de la surface d’attaque exposée à ton infra de sauvegarde.
Dans quel ordre patcher
Si tu dois prioriser avec un temps de maintenance limité : Veeam ONE d’abord (CVSS 9.3, zéro interaction requise), puis Backup & Replication sur les locataires Cloud Connect exposés (CVE-2026-58069), puis le reste. Et si ton infra tourne encore en 12.x, traite la migration vers la 13.x comme un chantier de sécurité, pas comme une simple montée de version fonctionnelle — ça rejoint directement la logique de la règle 3-2-1-1-0 : une sauvegarde immuable mais gérée par un serveur vulnérable n’est qu’une protection partielle.
FAQ
Le patch KB4902 suffit-il pour la fuite de mots de passe (CVE-2026-58070) ?
Non. Il empêche de nouvelles écritures en clair dans les journaux, mais ne purge pas les logs existants. Change les identifiants du compte invité utilisé pour le traitement Application-Aware après avoir patché.
Je suis encore en Backup & Replication 12.x, dois-je m’inquiéter de CVE-2026-65641 ?
Non, cette faille concerne uniquement Veeam ONE 13.x. En revanche, la 12.x reste concernée par CVE-2026-58069 (lecture de fichiers, Cloud Connect) et par les deux CVE critiques de mars et juin 2026.
Faut-il redémarrer les services après l’application des patchs ?
Les avis Veeam ne le précisent pas explicitement pour chaque CVE ; suis la procédure de mise à jour standard de Backup & Replication (arrêt des jobs en cours, mise à jour via le Patch Manager ou l’ISO, puis redémarrage des services Veeam) et vérifie la version effective après coup.
Ce qu’il faut retenir
Cinq failles corrigées en un seul patch Tuesday, deux critiques, une exploitable sans authentification. Si tu n’as qu’une chose à faire cette semaine : vérifie la version de ton Veeam ONE et patche-la en priorité, puis planifie la montée vers Backup & Replication 13.1 si tu es encore en 12.x. Les correctifs sont disponibles depuis fin août — le risque, à ce stade, c’est surtout le temps qu’il te reste avant qu’un scan automatisé repère l’instance non patchée.
Laisser un commentaire