Das israelische Sicherheitsunternehmen Veeam hat am aktuellen Patchday insgesamt vier kritische RCE-Sicherheitslücken geschlossen, die unter den CVE-Nummern CVE-2026-21666, CVE-2026-21667, CVE-2026-21669 und CVE-2026-21708 registriert sind. Drei der Lücken ermöglichen es Benutzern mit minimalen Domänenrechten, Schadcode auf verwundbaren Backup-Servern auszuführen. Die vierte Schwachstelle erlaubt es dem Backup Viewer, sich als PostgreSQL-Nutzer Fernzugriff zu sichern.
Darüber hinaus behob Veeam mehrere Sicherheitsmängel mit hohem Schweregrad, die zu Rechteerweiterungen, zum Diebstahl von SSH-Zugangsdaten und zur unbefugten Manipulation von Dateien führen können. Die Updates stehen in den Versionen 12.3.2.4465 und 13.0.1.2067 zur Verfügung.
Das Unternehmen drängt seine Kunden zur sofortigen Aktualisierung. Der Grund liegt auf der Hand: Cyberkriminelle analysieren verfügbare Sicherheitspatches systematisch, um Schwachstellen in noch nicht gepatchten Systemen auszunutzen. Diese Praxis hat sich bei kritischen Infrastrukturen wie Backup-Lösungen bewährt.
Gerafft ist die Sache auch deshalb, weil Backup & Replication ein beliebtes Angriffsziel von Ransomware-Gangs ist. Managed Service Provider und mittlere bis große Unternehmen vertrauen auf die Software — und damit auch auf ihre Backup-Strategien. Ransomware-Banden wissen das. Sie infiltrieren VBR-Server, um lateral in Netzwerke vorzudringen, Daten zu exfiltrieren und schlussendlich Wiederherstellungen zu sabotieren.
Die finanzorientierte Hackergruppe FIN7 hat in der Vergangenheit gezielt Veeam-Lücken ausgenutzt und mit Ransomware-Varianten wie Conti, REvil und BlackBasta kooperiert. Auch die Cuba-Ransomware-Gang steht auf der Liste. Ende 2024 kam hinzu: Die Frag-Ransomware nutzte eine zwei Monate zuvor offengelegte Veeam-RCE-Lücke, ebenso wie die Akira- und Fog-Ransomware seit Oktober 2024.
Für deutsche Unternehmen ist die Situation ernst. Viele Mittelständler und DAX-Konzerne verlassen sich auf Veeam für ihre Datensicherung. Ein kompromittierter Backup-Server ist nicht nur ein technisches Problem — es ist ein Geschäftsrisiko. Veeam selbst betont: Patches müssen ohne Verzögerung eingespielt werden. Die Alternative ist zu teuer.