Veeam Backup & Replication 12 : une faille critique corrigée dans la version 12.3.2 P4

En bref

• Le fait. Le 6 octobre 2026, Veeam a publié Backup & Replication 12.3.2 P4 (build 12.3.2.4934). Cette version corrige une faille critique (CVE-2025-64393) qui permet à un utilisateur disposant seulement du rôle « Backup Viewer » d'exécuter du code à distance sur le serveur de sauvegarde, ainsi que deux failles de sévérité moyenne. La version 13 n'est pas concernée. Aucune exploitation n'est signalée. Le CERT-FR a publié l'avis CERTFR-2026-AVI-1278 le 7 octobre. Source : article KB4934 de Veeam.
• Êtes-vous concerné ? Oui, si vos sauvegardes reposent sur Veeam Backup & Replication en version 12, que le serveur soit chez vous ou administré par un prestataire.
• Quoi faire :
  1. demandez à votre prestataire la version installée sur le serveur de sauvegarde ;
  2. faites appliquer la 12.3.2 P4, ou planifiez la migration vers la version 13 ;
  3. faites vérifier la liste des comptes ayant un rôle dans la console Veeam, y compris le rôle de simple consultation, et retirez ceux qui ne sont plus utiles.
• Urgence : critique, selon Veeam.

Détail technique

Versions (KB4934 de Veeam) : toutes les failles concernent Veeam Backup & Replication 12.3.2 P3 (build 12.3.2.4854) et les versions 12 antérieures. Elles sont corrigées à partir de la 12.3.2 P4 (build 12.3.2.4934). Aucune version 13 n'est concernée. Veeam rappelle que la version 12 arrivera en fin de support le 28 février 2027.

Failles corrigées :

• CVE-2025-64393 (critique, CVSS v4 9.4) : un utilisateur authentifié disposant du rôle « Backup Viewer » peut exécuter du code à distance sur le serveur de sauvegarde, par une désérialisation non sûre de données reçues via le service de montage (Mount Service) ;
• CVE-2026-93026 (moyenne, CVSS v4 6.1) : un utilisateur au rôle « Backup Viewer » peut modifier ou supprimer la clé maître d'Enterprise Manager et lire ou remplacer les identifiants de mise à jour antivirus stockés sur le serveur ;
• CVE-2025-64392 (moyenne, CVSS v4 4.8) : faille XSS réfléchie dans Veeam Backup Enterprise Manager, qui suppose qu'un utilisateur authentifié ouvre un lien piégé.

KEV. Non : aucune de ces CVE ne figure au catalogue KEV de la CISA (version du 21 octobre 2026).

Contournement. Veeam n'en propose pas : la mise à jour est la mesure à appliquer. Limiter les comptes disposant d'un rôle dans la console réduit toutefois l'exposition à CVE-2025-64393 et CVE-2026-93026, qui supposent un compte authentifié.

Vérifier sa version. Dans la console Veeam Backup & Replication : menu principal, Aide, À propos, qui affiche le numéro de build. Le build 12.3.2.4934 ou supérieur correspond à la version corrigée.