Veeam Backup for Microsoft 365: SQL-Injection in Konfigurationsdatenbank
Zusammenfassung
Ein authentifizierter Organisationsübertragungs-Peer kann SQL in die Konfigurationsdatenbank des Quell-Servers von Veeam Backup for Microsoft 365 einschleusen. Bei erfolgreicher Ausnutzung können Konfigurationsdaten mandantenübergreifend gelesen und geschrieben werden, und es ist Remote Code Execution als PostgreSQL-Dienstkonto möglich. Der Angreifer benötigt gültigen Zugriff als konfigurierter Organisationsübertragungs-Peer, daher ist das Risiko für Managed Service Provider, die mehrere Kunden auf einem Backup-Server betreiben, am höchsten.
Betroffen
- Veeam Backup for Microsoft 365 8.0 bis einschliesslich 8.5.0.1014
- Nicht unterstützte Builds wurden nicht getestet, laut Hersteller sind sie aber wahrscheinlich betroffen
Behoben in
- Veeam Backup for Microsoft 365 8.6 (Build 8.6.0.1102) gemäss Herstellerhinweis KB4957
- Veeam KB4913 gibt an, dass das Release 8.6 den Build 8.6.0.5011 installiert; ob dieser Build die Korrektur enthält, wird vom Hersteller nicht ausdrücklich genannt und muss überprüft werden
Umgehung
- Unbekannt. Der Herstellerhinweis nennt keine Workaround; das Einspielen des Patches ist die einzige bestätigte Massnahme.
- Zusätzliche Härtung (Vorschlag eines Drittanbieters, nicht vom Hersteller): PostgreSQL-Dienst im Netzwerk isolieren und auf auffällige SQL-Abfragen überwachen
Ausnutzung
- Bis 31. Oktober 2026 wurde kein öffentlicher Proof-of-Concept gefunden
- Nicht im CISA-KEV-Katalog gelistet
- Unbekannt, ob Ausnutzung beobachtet wurde; der Herstellerhinweis äussert sich nicht dazu
Unsere Empfehlung
- Veeam Backup for Microsoft 365 auf Version 8.6 (Build 8.6.0.1102) oder neuer aktualisieren und den installierten Build überprüfen
- Liste der Organisationsübertragungs-Peers prüfen und nicht benötigte Peers entfernen
- Prüfen, ob der Backup-Server von mehreren Kunden genutzt wird, und die Aktualisierung entsprechend priorisieren
- PostgreSQL-Protokolle bis zur Aktualisierung auf ungewöhnliche SQL-Abfragen überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Veeam KB4957: Vulnerabilities Resolved in Veeam Backup for Microsoft 365 8.6 www.veeam.com
- Veeam KB4913 www.veeam.com
- Halo Security advisory CVE-2026-106076 cve.halosecurity.com
- OpenCVE CVE-2026-106076 app.opencve.io
- VulDB entry 427431 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 08:02.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.