Alerte cyber pour PME suisses : Veeam – un rôle de lecture peut compromettre le serveur de sauvegarde
Veeam a corrigé une vulnérabilité critique dans Backup & Replication version 12. Un compte connecté disposant du rôle limité Backup Viewer peut l’utiliser pour exécuter du code sur le serveur Veeam Backup. Les entreprises concernées devraient demander à leur prestataire informatique de confirmer l’installation d’au moins la version 12.3.2 P4, ou l’utilisation de la version 13.
Que s’est-il passé ?
Le 6 octobre 2026, Veeam a publié la mise à jour 12.3.2 P4. CVE-2025-64393 touche le Mount Service : un utilisateur authentifié disposant du rôle Backup Viewer peut provoquer une exécution de code à distance sur le serveur de sauvegarde par une désérialisation non sécurisée de données non fiables. La vulnérabilité est classée critique avec un score CVSS 4.0 de 9.4.
Mon entreprise pourrait-elle être concernée ?
Veeam Backup & Replication 12.3.2 P3, build 12.3.2.4854, ainsi que tous les builds antérieurs de la version 12 sont concernés. Selon Veeam, la version 13 ne l’est pas. Veeam est largement utilisé pour les sauvegardes locales de serveurs, d’Hyper-V et de VMware, y compris dans des environnements gérés par un prestataire externe.
Que faut-il faire maintenant ?
Demandez à votre prestataire informatique de vérifier la version Veeam installée et le numéro complet du build. Les systèmes en version 12 doivent passer à 12.3.2 P4, build 12.3.2.4934, ou migrer vers la version 13 après une planification adaptée. Les comptes Backup Viewer inutiles et leurs autorisations devraient également être contrôlés.
Quel est le degré d’urgence ?
Urgent. L’exploitation nécessite un compte valide doté du rôle Backup Viewer ; il ne s’agit donc pas d’une attaque avant authentification. La faille permet néanmoins d’exécuter du code sur le serveur central de sauvegarde et un correctif est disponible. Veeam ne signale aucune exploitation active dans son avis.
Informations pour votre prestataire informatique
Avis : Veeam KB4934. CVE : CVE-2025-64393. Versions concernées : Veeam Backup & Replication 12.3.2.4854 et tous les builds antérieurs de la version 12. Correction : 12.3.2 P4, build 12.3.2.4934. La version 13 n’est pas concernée.
