Veeam, 6 Ekim 2026’da Backup & Replication 12 dalı için 12.3.2 P4 yamasını yayımladı ve üç güvenlik açığını kapattı. Bunlardan CVE-2025-64393, kritik önemde: yalnız yedeklemeleri görüntüleme yetkisi olan bir kullanıcının yedekleme sunucusunda uzaktan kod çalıştırmasına izin veriyor. Veeam bu açığa CVSS 4.0 ölçeğinde 9,4 puan verdi.
Ne oldu
Veeam’in bilgi bankası kaydına göre CVE-2025-64393, Mount Service bileşeni üzerinden güvensiz seri durumdan çıkarma (insecure deserialization) sorunu. Backup Viewer rolüne sahip düşük yetkili bir kullanıcı, bu yol üzerinden yedekleme sunucusunda kod çalıştırabiliyor. Aynı yamada orta önemde iki açık daha kapatıldı: CVE-2026-93026 (6,1 puan), Backup Viewer rolündeki kullanıcının Enterprise Manager ana anahtarını değiştirmesine ya da silmesine ve kayıtlı antivirüs güncelleme kimlik bilgilerini okuyup üzerine yazmasına izin veriyor; CVE-2025-64392 (4,8 puan), Veeam Backup Enterprise Manager’da yansıtılan bir XSS açığı.
Üç açık da Veeam’e HackerOne platformu üzerinden bildirildi; kayıtta araştırmacı adı verilmiyor.
Kimleri etkiler
Etkilenen sürümler Veeam Backup & Replication 12.3.2.4854 ve ondan önceki tüm sürüm 12 yapıları. Veeam, sürüm 13’ün bu açıklardan etkilenmediğini açıkça belirtiyor. Kritik açığın ön koşulu, saldırganın Backup Viewer rolüne sahip bir hesapla sisteme erişebilmesi; bu, dışarıdan kimlik doğrulamasız bir saldırı değil. Ancak yedekleme sunucuları, fidye yazılımı saldırılarında özellikle hedef alınan bileşenler: yedekleri silmek ya da şifrelemek, kurumun kurtarma şansını ortadan kaldırıyor. Düşük yetkili bir hesaptan yedekleme sunucusunda kod çalıştırmaya uzanan bir yol, bu yüzden tipik “yetki yükseltme” açıklarından daha ağır sonuç doğurabilir.
Yedekleme ekibi dışında kullanıcılara görüntüleme yetkisi verilen kurulumlar (denetim, raporlama, yardım masası gibi) ön koşulu karşılayan geniş bir kullanıcı kümesine sahip olabilir.
Üretici ne öneriyor
Veeam’in önerisi, 12.3.2 P4 (yapı 12.3.2.4934) sürümüne güncellemek. Üretici aynı kayıtta sürüm 12’nin 28 Şubat 2027’de destek süresinin sonuna geleceğini hatırlatıyor; uzun vadeli plan yapan kurumlar için bu, sürüm 13’e geçişi gündeme getiriyor.
Bilgi bankası kaydının tamamı, yapı numaraları ve indirme bağlantısı yan sütunda. Veeam, aynı sayfada açıkların ayrıntılı tanımlarını ve CVSS vektörlerini de veriyor.
