Skip to Content

Veeam corrige cuatro fallos en Backup & Replication, uno crítico que permite usar funciones sin cuenta ni contraseña

INCIBE lo clasifica como crítico: afecta a las ramas 13.0 y 13.1 de Backup & Replication y al agente para Linux gestionado, y ya hay versiones corregidas.
October 29, 2026
Curated High

Qué dice

  • Veeam ha publicado actualizaciones para cuatro vulnerabilidades comunicadas a través de HackerOne: una crítica, una alta y dos medias.
  • CVE-2026-108142, la crítica: sin cuenta ni contraseña, un atacante podría saltarse las restricciones de acceso a CDP Coordinator, el servicio que coordina la protección continua de los datos, y usar funciones reservadas a usuarios autorizados.
  • CVE-2026-108140 y CVE-2026-108141: un usuario con permiso para restaurar copias podría escribir archivos en ubicaciones no autorizadas del servidor de copias, si además controla una carpeta de almacenamiento en red incluida en las copias.
  • CVE-2026-105477: quien ya tenga acceso a un equipo Linux con el agente de Veeam podría obtener más permisos de los asignados; solo afecta a agentes gestionados desde Backup & Replication.
  • Afectados: Backup & Replication y Software Appliance hasta la 13.1.1.18 (rama 13.1) y la 13.0.2.29 (rama 13.0), y Agent for Linux hasta la 13.1.1.4. La 12.x no está afectada.
  • Versiones corregidas: Backup & Replication 13.1.2 (13.1.2.57) o 13.0.3 (13.0.3.63), y Agent for Linux 13.1.2 (13.1.2.11).

The Tech Guardian resume y comenta con sus propias palabras publicaciones de terceros. La información completa es de la fuente original, que te recomendamos leer.

Our take

Las copias de seguridad son lo último que te queda ante un ransomware, y por eso los atacantes van a por ellas. Si usas Veeam 13, comprueba hoy la versión y actualiza a la 13.1.2 o a la 13.0.3: el fallo crítico no necesita credenciales. El aviso no menciona explotación activa, pero el servidor de copias no es algo que convenga dejar para la semana que viene.

La AEPD publica un decálogo para usar asistentes y agentes de IA sin perder el control de tus datos
Cinco preguntas antes de delegar: qué ve el agente, qué recuerda, qué hace en tu nombre, adónde envía los datos y a quién más afecta.