Cette mise à jour pour Veeam Backup & Replication corrige 4 failles de sécurité : patchez !
En ce début janvier 2026, un ensemble de 4 vulnérabilités a été patché dans la solution de sauvegarde Veeam Backup & Replication. Quels sont les risques ? Comment se protéger ? Faisons le point.
Parmi les 4 failles de sécurité dévoilées par Veeam, 3 permettent à un attaquant d'exécuter du code à distance avec plus ou moins de privilèges. Toutes ces vulnérabilités ont été découvertes lors d'audits internes effectués par les équipes de Veeam.
Ces failles sont décrites dans le tableau récapitulatif ci-dessous :
| Identifiant CVE | Impact | Privilèges requis | Sévérité | Score CVSS v3.1 |
| CVE-2025-55125 | Exécution de code à distance (RCE) en tant que root via la création d'un fichier de configuration de sauvegarde malveillant. | Opérateur de sauvegarde ou de bande (Backup/Tape Operator) | Élevée | 7.2 |
| CVE-2025-59468 | Exécution de code à distance (RCE) en tant qu'utilisateur postgres via l'envoi d'un paramètre de mot de passe malveillant. | Administrateur de sauvegarde (Backup Administrator) | Moyenne | 6.7 |
| CVE-2025-59469 | Écriture de fichiers arbitraires en tant que root. | Opérateur de sauvegarde ou de bande (Backup/Tape Operator) | Élevée | 7.2 |
| CVE-2025-59470 | Exécution de code à distance (RCE) en tant qu'utilisateur postgres via des paramètres d'ordre ou d'intervalle malveillants. | Opérateur de sauvegarde ou de bande (Backup/Tape Operator) | Élevée | 9.0 |
La lecture du bulletin de sécurité de Veeam apporte une précision importante concernant la CVE-2025-59470 (la dernière du tableau). Bien que le score CVSS soit de 9.0 (ce qui correspond à une faille critique), la sévérité a été réajustée à Élevée par l'éditeur Veeam.
D'ailleurs, Veeam a appliqué ce changement pour deux raisons :
- Pour exploiter cette vulnérabilité, l'attaquant doit déjà disposer du rôle d'Opérateur, qui donne déjà beaucoup de privilèges.
- L'application des bonnes pratiques de sécurité de Veeam réduit la probabilité d'exploitation de cette CVE.
Comment se protéger ?
Veeam précise que ces 4 failles de sécurité affectent Veeam Backup & Replication 13.0.1.180 et toutes les versions antérieures de Veeam B&R 13. Autrement dit, les versions antérieures ne sont pas affectées.
"Les versions précédentes de Veeam Backup & Replication (c'est-à-dire 12.x et antérieures) ne sont pas concernées par ces vulnérabilités.", précise Veeam.
Pour protéger votre instance, et par extension vos sauvegardes, vous devez installer cette version : Veeam Backup & Replication 13.0.1.1071. Elle corrige aussi un ensemble de bugs, comme vous pourrez le constater en lisant la KB associée.
