Resumo técnico
A Veeam publicou build 13.0.1.1071 (lançada em 6 de janeiro de 2026) que resolve quatro problemas identificados durante testes internos. As falhas afetam instalações de VBR 13.0.1.180 e versões 13 anteriores e, conforme o comunicado, podem permitir execução remota de código em contextos de operadores com privilégios específicos.
CVE e severidade
- CVE‑2025‑55125 — RCE como root via arquivo de configuração de backup malicioso. CVSS v3.1: 7.2 (High).
- CVE‑2025‑59468 — RCE como usuário PostgreSQL via parâmetro de senha. CVSS: 6.7 (Medium).
- CVE‑2025‑59469 — Escrita arbitrária de arquivos com privilégios de root. CVSS: 7.2 (High).
- CVE‑2025‑59470 — RCE como usuário PostgreSQL via parâmetros interval/order. CVSS: 9.0 (Critical*). (A Veeam assinalou ajustes de criticidade em função de controles de função e acesso.)
Contexto e risco operacional
As vulnerabilidades concentram‑se em funções de operador de backup e tape operator, papéis que tipicamente têm permissões elevadas dentro de ambientes de recuperação. Apesar de algumas falhas exigirem credenciais para serem exploradas, o risco é relevante porque infraestruturas de backup integram múltiplos sistemas e contêm cópias de dados sensíveis — um comprometimento do sistema de backup pode impactar disponibilidade e confidencialidade em larga escala.
Recomendações da Veeam
A recomendação imediata do fabricante é atualizar todas as instâncias afetadas para a build 13.0.1.1071. Além da atualização, a Veeam orienta restringir atribuições de função de operador a pessoal confiável, segmentar a rede onde os servidores de backup residem e aplicar políticas fortes de autenticação.
Observações para times de segurança
- Priorizar patching em ciclos acelerados para ambientes de backup, dado o papel crítico desses sistemas.
- Auditar papéis e permissões atribuídos a operadores: reduzir privilégios conforme princípio de menor privilégio.
- Monitorar logs de acesso, atividades de criação/alteração de backups e execuções de processos não usuais que possam indicar tentativa de exploração.
O que não foi informado
Nos relatórios públicos não há confirmação de exploração ativa em campo antes da divulgação. Também não foram divulgadas amostras públicas de exploits. Por isso, a resposta técnica deve combinar correção imediata com detecção e investigação para identificar possíveis compromissos prévios.