Cyber alert per PMI svizzere: Veeam – un ruolo di lettura può compromettere il server di backup
Veeam ha corretto una vulnerabilità critica in Backup & Replication versione 12. Un account autenticato con il ruolo limitato Backup Viewer può sfruttarla per eseguire codice sul server Veeam Backup. Le aziende che utilizzano Veeam dovrebbero chiedere al fornitore IT di confermare l’installazione almeno della versione 12.3.2 P4, oppure l’uso della versione 13.
Che cosa è successo?
Il 6 ottobre 2026 Veeam ha pubblicato l’aggiornamento 12.3.2 P4. CVE-2025-64393 interessa il Mount Service: un utente autenticato con il ruolo Backup Viewer può causare l’esecuzione remota di codice sul server di backup tramite deserializzazione non sicura di dati non affidabili. La vulnerabilità è classificata critica con un punteggio CVSS 4.0 di 9.4.
La mia azienda potrebbe essere interessata?
Sono interessati Veeam Backup & Replication 12.3.2 P3, build 12.3.2.4854, e tutti i build precedenti della versione 12. Secondo Veeam, la versione 13 non è interessata. Veeam è ampiamente usato per backup locali di server, Hyper-V e VMware, anche in ambienti gestiti da fornitori IT esterni.
Che cosa bisogna fare ora?
Chiedete al fornitore IT di verificare la versione Veeam installata e il numero completo del build. I sistemi versione 12 devono essere aggiornati a 12.3.2 P4, build 12.3.2.4934, oppure portati alla versione 13 dopo un’adeguata pianificazione. È inoltre opportuno verificare gli account Backup Viewer non necessari e le relative autorizzazioni.
Quanto è urgente?
Urgente. Per sfruttare la falla è necessario un account valido con il ruolo Backup Viewer; non si tratta quindi di un attacco pre-autenticazione. Poiché la vulnerabilità consente di eseguire codice sul server centrale di backup ed è disponibile una correzione, l’aggiornamento dovrebbe essere eseguito rapidamente. Veeam non segnala sfruttamento attivo nell’avviso.
Informazioni per il fornitore IT
Advisory: Veeam KB4934. CVE: CVE-2025-64393. Versioni interessate: Veeam Backup & Replication 12.3.2.4854 e tutti i build precedenti della versione 12. Correzione: 12.3.2 P4, build 12.3.2.4934. La versione 13 non è interessata.
