Eine Grafik mit rotem Hintergrund, die eine digitale IT-Struktur in einem abstrakten Design darstellt. Geeignet für technische Themen.
Eine Schwachstelle in der Updater-Komponente von Veeam (CVE-2026-56844, CVSS 8.4 von 10, Risiko „hoch“) erlaubt lokalen Benutzern, ihre Rechte bis auf root auszuweiten und damit die volle Kontrolle über das Betriebssystem zu erlangen. Von der Veeam Sicherheitslücke betroffen sind die Appliance-Varianten der Backupsoftware Veeam Backup & Replication, nicht die klassische Windows-Installation. Veeam hat die Lücke mit einer neuen Updater-Version geschlossen.
Überblick
- Die Veeam-Updater-Schwachstelle wird als CVE-2026-56844 geführt und mit CVSS 4.0 auf 8.4 von 10 bewertet (Risiko „hoch“).
- Ein lokaler Benutzer kann über die Updater-Komponente seine Rechte bis auf root ausweiten und so das Betriebssystem übernehmen.
- Betroffen sind die Updater-Komponenten der Veeam Software Appliance (Linux-basierter Backup-Server) und der Veeam Infrastructure Appliance.
- Rein Windows-basierte Veeam-Backup-&-Replication-Server sind nicht direkt betroffen, verbundene Remote-Komponenten können es aber sein.
- Behoben ist die Lücke in der Updater-Version 12.3.0.65; bei aktiver automatischer Update-Verteilung ist meist kein manueller Eingriff nötig.
Hintergründe zur IT-Sicherheitslücke
Veeam hat am 14. Juli 2026 im Advisory KB4879 eine Schwachstelle in der Updater-Komponente seiner Appliances bekannt gegeben. Über die Lücke kann ein Angreifer, der bereits lokalen Zugriff auf das System hat, seine Berechtigungen bis auf die höchste Ebene (root) anheben. Damit stünde ihm der volle Zugriff auf das Betriebssystem und auf die dort laufenden Backup-Dienste offen.
Veeam ordnet das Risiko trotz der notwendigen lokalen Vorbedingung als „hoch“ ein, weil die Backup-Infrastruktur ein besonders schützenswertes Ziel ist. Es handelt sich aber nicht um eine aus dem Internet ausnutzbare Lücke: Ein Angreifer benötigt zunächst einen Fuß in der Tür, etwa ein bereits gehacktes Benutzerkonto auf der Appliance.
Zahlen, Daten und Fakten
CVSS 8.4 von 10
Bewertung nach CVSS 4.0, Risiko „hoch“. Ausnutzung setzt lokalen Zugriff voraus.
Updater 12.3.0.65
Die fehlerbereinigte Version der Updater-Komponente, die die Lücke schließt.
Advisory KB4879
Von Veeam am 14. Juli 2026 veröffentlicht
Technische Analyse der Schwachstelle
Hinter CVE-2026-56844 steht laut den vorliegenden Schwachstellendaten ein Path-Traversal-Fehler (CWE-22) in der Updater-Komponente. Path Traversal bedeutet, dass eine Anwendung Dateipfade nicht sauber prüft und sich dadurch über Verzeichnisgrenzen hinaus manipulieren lässt.
Der Updater läuft auf den Appliances mit hohen Systemrechten, damit er Komponenten aktualisieren und ersetzen kann. Genau diese privilegierte Stellung macht ihn zum Hebel: Wer den Ablauf manipuliert, kann eigene Befehle im Kontext des root-Benutzers ausführen. Aus einem Konto mit begrenzten Rechten wird so ein vollwertiger Administratorzugang auf Betriebssystemebene.
Wichtige Hinweise
Eine Rechteausweitung ist selten der erste Schritt eines Angriffs, sondern der zweite: Sie verwandelt einen kleinen Einbruch in eine große Infiltrierung. Auf einem Backup-Server wiegt das besonders schwer – denn wer dort root-Rechte erlangt, kann Sicherungen einsehen, verändern oder löschen.
Betroffene und nicht betroffene Systeme
| Komponente | Betroffen? |
|---|---|
| Veeam Software Appliance (Linux-Backup-Server) | Ja – Updater-Komponente betroffen |
| Veeam Infrastructure Appliance | Ja – Updater-Komponente betroffen |
| Windows-basierte Installation (Veeam Backup & Replication) | Nein – nicht direkt betroffen |
| Remote-Komponenten auf Basis der Infrastructure Appliance | Möglich – können verwundbar sein |
Prüfen Sie im Zuge der Veeam Sicherheitslücke CVE-2026-56844 nicht nur den zentralen Backup-Server, sondern auch verteilte oder ausgelagerte Komponenten. Gerade in gewachsenen Umgebungen ist nicht immer sofort klar, wo eine Infrastructure Appliance mitläuft. Eine kurze Bestandsaufnahme schafft hier Gewissheit.
Hinweise zum Vorgehen für IT-Admins
1
Update-Verteilung prüfen
Ist die automatische Verteilung aktiviert, wird die fehlerbereinigte Updater-Version in der Regel ohne manuelles Zutun ausgerollt. Kontrollieren Sie, dass dieser Mechanismus aktiv ist und funktioniert.
2
Updater-Version verifizieren
Stellen Sie sicher, dass auf den betroffenen Appliances die Updater-Version 12.3.0.65 oder neuer installiert ist. Eine kurze Kontrolle der Versionsnummer schafft Klarheit.
3
Bestand aufnehmen
Erfassen Sie, welche Appliances (Software Appliance, Infrastructure Appliance) und welche verbundenen Remote-Komponenten laufen, und gleichen Sie sie gegen den betroffenen Umfang ab.
4
Lokalen Zugriff einschränken
Da die Lücke lokalen Zugriff voraussetzt, senkt jede Härtung des Zugangs das Risiko: nicht benötigte Konten entfernen, Anmeldungen protokollieren, Zugriff auf die Appliance beschränken.
5
Backup-Umgebung isolieren
Trennen Sie die Backup-Infrastruktur so weit wie möglich vom übrigen Netz und von produktiven Systemen. So wird der für die Ausnutzung nötige erste Zugriff von vornherein erschwert.
Das unmittelbare Risiko ist beherrschbar, die Tragweite im Ernstfall aber hoch.
Beherrschbar ist die Veeam Sicherheitslücke, weil die Schwachstelle nicht direkt aus dem Internet ausnutzbar ist und der Hersteller bereits eine Korrektur bereitstellt. Dennoch ist die Geafahr als hoch einzustufen, weil es um den Backup-Server geht – das letzte Sicherungsnetz bei Ransomware und Datenverlust.
Der Aufwand zur Absicherung bleibt aber überschaubar: Update-Stand und Zugriffsmöglichkeiten kontrollieren und Backup-Umgebung isolieren.
FAQ
Eine Schwachstelle in der Updater-Komponente der Veeam-Appliances. Sie erlaubt einem lokalen Benutzer, seine Rechte bis auf root auszuweiten und damit das Betriebssystem zu übernehmen. Die Bewertung liegt bei CVSS 8.4 von 10 (Risiko „hoch“).
Eine rein Windows-basierte Installation ist nicht direkt betroffen. Verwenden Sie allerdings Remote-Komponenten, die auf der Veeam Infrastructure Appliance aufsetzen, können diese verwundbar sein. Prüfen Sie daher Ihre gesamte Komponentenlandschaft.
In den meisten Fällen nicht. Ist die automatische Update-Verteilung aktiv, wird die Updater-Version 12.3.0.65 in der Regel automatisch ausgerollt. Kontrollieren Sie zur Sicherheit die installierte Versionsnummer.
Nein. Die Rechteausweitung setzt lokalen Zugriff auf das System voraus. Sie ist typischerweise ein zweiter Schritt nach einem bereits erfolgten Einbruch. Ein gehärteter Zugang senkt das Risiko deutlich.
Weil der Backup-Server das letzte Sicherungsnetz ist. Wer dort root-Rechte erlangt, kann Sicherungen einsehen, verändern oder löschen und so eine Wiederherstellung nach einem Angriff verhindern.
Fazit
Die Veeam-Updater-Schwachstelle CVE-2026-56844 verdient Aufmerksamkeit, aber verfallen Sie nicht in Hektik. Die Lücke ist nicht aus dem Internet ausnutzbar, und der Hersteller verteilt die Korrektur in vielen Umgebungen automatisch. Wer die betroffenen Appliances im Blick hat, die Updater-Version 12.3.0.65 bestätigt und den lokalen Zugriff sauber einschränkt, hat das Wesentliche erledigt.
Entscheidend bleibt: Gerade der Backup-Server braucht besonderen Schutz – er ist das System, auf das im Ernstfall alles ankommt.