شرکت Veeam به‌تازگی به‌روزرسانی‌های امنیتی جدیدی را برای رفع یک آسیب‌پذیری بحرانی در بخش Authorization Bypass در محصول Backup & Replication منتشر کرده است. این نقص امنیتی که با شناسه CVE-2026-108142 شناخته می‌شود، به مهاجمان بدون احراز هویت (Unauthenticated) اجازه می‌دهد تا کنترل سرویس CDP Coordinator Service را دور بزنند.
این آسیب‌پذیری دارای امتیاز CVSS v4.0: 9.1 است و هم بر روی نسخه‌های مبتنی بر ویندوز (Windows) و هم بر روی Veeam Software Appliance تأثیر می‌گذارد. طبق گزارش‌های منتشر شده، این نقص از نسخه‌های 13.1.1.18 و قدیمی‌تر در شاخه 13.1، و همچنین نسخه 13.0.2.29 و قدیمی‌تر در شاخه 13.0 قابل بهره‌برداری است. نسخه‌های قدیمی‌تر مانند سری 12.x تحت تأثیر این آسیب‌پذیری نیستند.
سایر آسیب‌پذیری‌های شناسایی شده
علاوه بر مورد فوق، این گزارش به دو آسیب‌پذیری دیگر نیز اشاره دارد که نیاز به بررسی دارند:
- CVE-2026-108140 و CVE-2026-108141: دو آسیب‌پذیری با سطح شدت متوسط (Medium) از نوع Path Traversal که نیازمند کاربر دارای نقش Restore Operator هستند. این نقص می‌تواند به مهاجم اجازه دهد فایل‌های کنترل‌شده‌ای را در مکان‌های دلخواه روی سرور بک‌آپ بنویسد.
- CVE-2026-105477: یک آسیب‌پذیری با سطح شدت بالا (High) از نوع Local Privilege Escalation در Veeam Agent برای لینوکس که تنها در نسخه‌های مدیریت‌شده توسط Backup & Replication قابل وقوع است.
اقدامات اصلاحی و توصیه‌ها
برای مقابله با این تهدیدات، مدیران سیستم باید بلافاصله محصولات خود را به نسخه‌های اصلاح‌شده زیر ارتقا دهند:
- برای رفع آسیب‌پذیری اصلی (Authorization Bypass): استفاده از نسخه‌های 13.1.2.57 یا 13.0.3.63.
- برای رفع مشکل لینوکس: ارتقا به نسخه 13.1.2.11 از Veeam Agent.
توجه داشته باشید که برای ارتقای نسخه‌های ویندوز، استفاده از فایل ISO کامل یا Updater داخلی الزامی است و پچ‌های مجزا (Standalone Patch) در دسترس نیستند. توصیه می‌شود پیش از اقدام، نسخه فعلی خود را از طریق منوی Help > About در کنسول بررسی کنید تا مسیر اصلاحی صحیح را انتخاب نمایید.
