Veeam Management Pack for Microsoft System Center: Remote Code Execution

Zusammenfassung

Der Collector-Dienst des Veeam Management Pack for Microsoft System Center enthält eine Schwachstelle, die einem Mitglied der Gruppe Veeam Virtualization Extensions Users erlaubt, Code remote auf dem Server auszuführen. Der Angreifer muss diese Gruppenmitgliedschaft bereits besitzen, daher handelt es sich um einen Schritt zur Rechteerweiterung und nicht um einen anonymen Einstiegspunkt. Veeam stuft das Problem als hoch ein (CVSS v4.0 8.8), und ein erfolgreicher Angriff könnte den Verwaltungsserver kompromittieren, was die Backup-Infrastruktur betreffen kann.

Betroffen

• Veeam Management Pack for Microsoft System Center 9.1 und alle früheren Version-9-Builds, einschliesslich des Compatibility-Patches für Veeam Backup & Replication 13 (Bereich gemäss CNA: 9.0 bis vor 13.1.0.334)
• Nicht unterstützte Versionen wurden nicht getestet, laut Veeam sind sie jedoch wahrscheinlich betroffen
• Version 8.x wird von Veeam nicht genannt; bis zur Bestätigung von einer Betroffenheit ausgehen

Behoben in

• Veeam Management Pack for Microsoft System Center 13.1, Build 13.1.0.334
• Für Version 9.x gibt es keinen Fix; Upgrade auf 13.1.0.334 durchführen

Umgehung

Unbekannt. Veeam nennt keinen Workaround. Drittanbieter-Hinweis (nicht vom Hersteller bestätigt): Mitgliedschaft in der Gruppe Veeam Virtualization Extensions Users prüfen und Konten entfernen, die nur Monitoring benötigen.

Ausnutzung

• Nicht im CISA KEV aufgeführt; CISA-SSVC-Bewertung: Exploitation none, nicht automatisierbar
• In den geprüften Quellen wurde kein öffentlicher Proof of Concept gefunden
• Veeam warnt, dass Angreifer wahrscheinlich versuchen werden, den Patch zu reverse-engineeren
• Ein Bericht erwähnt Angriffsverkehr zu dieser CVE, die Quelle bestätigt dies jedoch nicht; Ausnutzung gilt als unbestätigt

Unsere Empfehlung

• Management Pack auf 13.1.0.334 aktualisieren
• Installationen der Version 9.x auf 13.1 migrieren, da für 9.x kein Fix bereitgestellt wird
• Mitgliedschaft in der Gruppe Veeam Virtualization Extensions Users jetzt prüfen und nicht benötigte Konten entfernen
• Prüfen, ob System Center Operations Manager mit diesem Management Pack eingesetzt wird; ohne dieses trifft diese CVE nicht zu
• CVE-2023-22793 zuerst patchen, danach CVE-2026-107238 und CVE-2026-107239, die im selben Build behoben sind
• CISA KEV und NVD in den kommenden Tagen erneut prüfen, da der Eintrag neu ist

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Veeam KB4961: Vulnerabilities Resolved in Management Pack 13.1 www.veeam.com
• VulDB: CVE-2026-107239 vuldb.com
• ThreatInt: CVE-2026-107239 cve.threatint.com
• Positive Technologies PT-2026-132855 (CVE-2023-22793) vulners.com
• SecurityOnline: Veeam vulnerabilities in Management Pack securityonline.info
• TheHackerWire: CVE-2026-107239 www.thehackerwire.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 08:57.