Veeam-Sicherheitslücken Oktober 2026: Kritischer RCE-Fehler in Backup & Replication

Wer Backups für den Ernstfall vorhält, verlässt sich auf eine stille Annahme: Die Backup-Infrastruktur selbst ist sicher. Diese Annahme hat in den vergangenen Monaten mehrfach nicht gehalten, zuletzt am 6. Oktober 2026, als Veeam eine kritische Schwachstelle in seiner verbreiteten Backup-&-Replication-Software schloss. Wer die Lücke ausnutzt, braucht keine Admin-Rechte — ein einzelnes, niedrig privilegiertes Konto genügt, um beliebigen Code auf dem Backup-Server auszuführen.

Was die Lücke technisch bedeutet

Die Schwachstelle trägt die Kennung CVE-2025-64393 und wurde über das HackerOne-Bug-Bounty-Programm gemeldet. Laut Veeams eigenem Knowledge-Base-Artikel (öffnet in neuem Tab) erlaubt sie es einem Nutzer mit der Rolle "Backup Viewer" — einer bewusst eingeschränkten, lesenden Rolle —, über eine unsichere Deserialisierung nicht vertrauenswürdiger Daten im Mount Service beliebigen Code auf dem Backup-Server auszuführen. Der National Vulnerability Database (NVD)-Eintrag (öffnet in neuem Tab) präzisiert: Die Ausführung erfolgt mit SYSTEM-Rechten, also mit der höchsten Berechtigungsstufe unter Windows.

Der CVSS-4.0-Wert liegt bei 9,4 (öffnet in neuem Tab) und damit in der Kategorie "kritisch". Zum Vergleich: Werte über 9,0 sind selten und bedeuten in der Regel, dass ein Angriff ohne besondere Vorbedingungen, ohne Benutzerinteraktion und mit hoher Erfolgswahrscheinlichkeit gelingt. Genau das trifft hier zu — einzige Voraussetzung ist ein gültiger, niedrig privilegierter Account auf dem System.

heise online fasst die praktische Konsequenz zusammen (öffnet in neuem Tab): Über den Fehler lässt sich Schadsoftware auf den Backup-Server schleusen und dort ausführen. Betroffen sind laut Veeam alle Versionen von Backup & Replication 12 bis einschließlich Build 12.3.2.4854 — Version 13 ist von dieser speziellen Lücke nicht betroffen.

Zwei weitere Lücken im selben Patch

Veeam hat mit demselben Update zwei zusätzliche Schwachstellen geschlossen, die beide niedriger eingestuft sind, aber ebenfalls die Backup-Infrastruktur betreffen:

• CVE-2026-93026 (CVSS 6,1, "mittel"): Ein authentifizierter Nutzer mit Backup-Viewer-Rolle kann laut Veeam den Hauptschlüssel des Enterprise Manager verändern oder löschen sowie gespeicherte Zugangsdaten für Antivirus-Updates auslesen oder überschreiben.
• CVE-2025-64392 (CVSS 4,8, "mittel"): Eine reflektierte Cross-Site-Scripting-Lücke im Veeam Backup Enterprise Manager, über die Angreifer Skriptcode im Browser eines angemeldeten Portal-Nutzers ausführen können, wenn dieser einen präparierten Link öffnet.

Alle drei Lücken sind mit Veeam Backup & Replication 12.3.2 P4 (Build 12.3.2.4934) behoben, veröffentlicht am 6. Oktober 2026.

Version 13 ist nicht verschont — nur von einer anderen Lücke

Wer wegen CVE-2025-64393 bereits auf Version 13 umgestiegen ist, kann sich nicht vollständig entspannen. Laut heise online (öffnet in neuem Tab) wurde am 7. Oktober 2026 zusätzlich die Schwachstelle CVE-2026-58069 bekannt (CVSS4 8,3, Risiko "hoch"): Angemeldete Cloud-Connect-Mandanten können dabei beliebige Dateien auf dem Host des Dienstanbieters auslesen. Betroffen sind laut Veeams Übersicht in KB4902 (öffnet in neuem Tab) sowohl ältere Version-13-Builds als auch Version-12-Builds bis 12.3.2.4854. Behoben ist der Fehler in den Versionen 13.1.0.411, 13.0.3.63 und 12.3.2.4934.

Das Muster ist nicht neu: Bereits im August 2026 hatte Veeam nach einem Bericht von heise online (öffnet in neuem Tab) mehrere Schwachstellen in den Verwaltungswerkzeugen Veeam One und Service Provider Console geschlossen — darunter eine mit dem höchstmöglichen CVSS-Wert von 10,0 (CVE-2026-64633), die unauthentifizierte Remote-Code-Ausführung erlaubte. Auch dort gab es laut Veeam zum Zeitpunkt der Veröffentlichung keine Hinweise auf aktive Ausnutzung.

Warum das für Backup-Software besonders schwer wiegt

Eine Schwachstelle in der Backup-Infrastruktur trifft Unternehmen an einer empfindlichen Stelle. heise online formuliert es für die August-Lücken so: Wenn Backups beschädigt werden, "können Unternehmen in echte Schwierigkeiten geraten, etwa nach einem Ransomware-Angriff, weil sie den Zustand vor dem Angriff nicht wiederherstellen können." Das gilt im Oktober-Fall genauso — wer über die Lücke Code auf dem Backup-Server ausführen kann, kann im schlimmsten Fall genau die Wiederherstellungsfähigkeit zerstören, die ein Backup eigentlich garantieren soll. Backup-Systeme sind zudem oft mit weitreichenden Zugriffsrechten auf die gesicherten Systeme ausgestattet, was sie zu einem attraktiven Ziel für seitliche Bewegung im Netzwerk macht.

Wie teuer ein erfolgreicher Angriff wird, zeigt eine Erhebung von Sophos (öffnet in neuem Tab) unter 2.158 IT- und Cybersicherheits-Verantwortlichen aus Organisationen mit 100 bis 5.000 Mitarbeitenden: Bei 56 Prozent der erfassten Angriffe gelang es den Tätern, Daten erfolgreich zu verschlüsseln, und die durchschnittlichen Kosten der Wiederherstellung lagen laut derselben Erhebung bei 1,7 Millionen US-Dollar. Diese Unternehmensgröße deckt sich mit dem typischen Mittelstandsbetrieb — genau die Größenordnung, die eine funktionierende Backup-Wiederherstellung am wenigsten aus eigener Kraft kompensieren kann.

Was jetzt zu tun ist

1. Version prüfen. Wer Backup & Replication 12 in einem Build bis einschließlich 12.3.2.4854 betreibt, ist von CVE-2025-64393 betroffen. Maßgeblich ist die genaue Build-Nummer, nicht nur die Hauptversion.
2. Patchen, nicht filtern. Da der Angriffsweg über den Mount Service läuft und ein regulär angelegtes, niedrig privilegiertes Konto als Angriffspunkt genügt, lässt sich das Risiko laut Veeam nur durch das Update beseitigen — nicht durch Netzwerksegmentierung allein.
3. Zugriff auf die Backup-Viewer-Rolle überprüfen. Wer aktuell Zugänge mit dieser Rolle vergeben hat, sollte deren Anzahl und Berechtigung vor dem Patch noch einmal durchgehen, da genau diese Rolle für den Angriff ausreicht.
4. Bei Version 13 zusätzlich auf CVE-2026-58069 prüfen — insbesondere, wenn Cloud-Connect-Mandanten eingebunden sind. Die Lücke ist unabhängig von CVE-2025-64393 und braucht ein eigenes Update auf 13.1.0.411 oder 13.0.3.63.
5. Patch-Rhythmus für Backup-Infrastruktur dauerhaft etablieren. Die Häufung von Veeam-Lücken seit August 2026 — von Backup & Replication über Veeam One bis zur Service Provider Console — zeigt, dass ein einmaliger Patchlauf nicht reicht. Backup-Systeme brauchen denselben regelmäßigen Update-Prozess wie jede andere internetnahe Software.

Konkret lässt sich die eigene Build-Nummer in der Konsole von Veeam Backup & Replication über "Hilfe → Über" ablesen oder, bei größeren Installationen, zentral über die PowerShell-Cmdlets der Veeam-Verwaltung abfragen. Wer mehrere Standorte oder Mandanten betreut, sollte diesen Check nicht manuell pro System wiederholen, sondern über ein Inventar- oder Patch-Management-Werkzeug zentralisieren — sonst bleibt am Ende genau die eine vergessene Installation übrig, über die ein Angreifer hereinkommt.

Bislang liegen laut Veeam keine Hinweise auf eine aktive Ausnutzung von CVE-2025-64393 vor. Das ändert an der Dringlichkeit wenig: Sobald ein Patch veröffentlicht ist, beginnt für Angreifer das Wettrennen, aus dem Unterschied zwischen alter und neuer Version den genauen Fehler zu rekonstruieren — ein als "Patch-Diffing" bekanntes Verfahren, mit dem sich innerhalb weniger Tage funktionierende Exploits für ungepatchte Systeme bauen lassen.

Veeam weist in seinem Security-Advisory selbst darauf hin, dass dieses Patch-Diffing-Risiko mit jedem Tag wächst, den ein System ungepatcht bleibt. Wer kein eigenes Team hat, das Backup-Infrastruktur im selben Takt patcht wie Betriebssysteme und Mailserver, sollte diesen Vorfall zum Anlass nehmen, genau das nachzuholen.