Veeam yedekleme sunucusunda kritik açık: kimlik doğrulama atlanıyor

Veeam, kurumsal yedekleme dünyasının en yaygın kullanılan ürünü olan Backup & Replication ve izleme ürünü Veeam ONE için 27 Ekim 2026'da beş ayrı güvenlik açığını kapatan güncellemeler yayımladı. Listenin en kritik maddesi, CVSS v4.0 ölçeğinde 9.1 puan alan CVE-2026-108142.

Açık, Veeam Backup & Replication 13 sürümlerindeki CDP Coordinator Service bileşeninde bulunuyor. Kimlik doğrulaması yapmamış uzaktaki bir saldırganın yetkilendirme kontrollerini atlamasına izin veriyor. Zafiyetin sınıflandırması CWE-636, yani "güvenli şekilde başarısız olmama": kontrol mekanizması hata durumunda erişimi kapatmak yerine açık bırakıyor. Veeam, açığın teknik ayrıntılarını ve istismar adımlarını KB4948 numaralı bültende paylaşmadı.

Hangi sürümler etkileniyor?

Etkilenen sürümler Backup & Replication 13.1.1.18 ve öncesi 13.1 yapıları ile 13.0.2.29 ve öncesi 13.0 yapıları. Hem Windows üzerine kurulu dağıtımlar hem de Veeam Software Appliance kapsamda. 12.x sürümleri etkilenmiyor. Düzeltme, 13.1.2 (yapı 13.1.2.57) ve 13.0.3 (yapı 13.0.3.63) sürümleriyle geldi.

Aynı güncelleme paketindeki diğer açıklar da göz ardı edilmemeli. Veeam ONE tarafındaki CVE-2026-107671 (CVSS 8.5), geçerli yönetici kimlik bilgilerine sahip bir kişinin çok faktörlü doğrulamayı tüm sistem genelinde kapatmasına imkân veriyor; düzeltme 13.1 P1 (yapı 13.1.0.7940) ile yayımlandı. Veeam Agent for Linux'taki CVE-2026-105477 (CVSS 7.3) yerel yetki yükseltmesine, Backup & Replication'daki CVE-2026-108140 ve CVE-2026-108141 (her ikisi CVSS 5.9) ise Restore Operator yetkisine sahip bir kullanıcının kontrol ettiği NAS paylaşımı üzerinden dosya yazmasına yol açıyor.

Neden bu açık diğerlerinden farklı?

Kaynaklara göre bu açıklar için şu an bilinen bir aktif istismar ya da kamuya açık istismar kodu bulunmuyor ve CVE-2026-108142 CISA'nın istismar edilen açıklar kataloğuna da girmedi. Buna rağmen önceliklendirme gerekçesi net: hedef, yedekleme altyapısının kendisi.

Fidye yazılımı grupları yıllardır şifrelemeden önce yedekleri devre dışı bırakmaya çalışıyor. Yedek sunucusu ele geçirildiğinde kurumun geri dönüş seçeneği kalmıyor; ayrıca bu sunucu tanımı gereği tüm sanal makinelere ve dosya sunucularına erişim yetkisine sahip. Yani yedekleme sunucusundaki bir yetkilendirme atlatma açığı, tek başına bir sunucu açığı değil, ağın tamamı için bir anahtar anlamına geliyor.

Türkiye tarafında bu konu ayrıca KVKK yükümlülükleriyle kesişiyor. Kişisel veri işleyen bir şirkette yedekleme altyapısının ele geçirilmesi, 6698 sayılı Kanun'un 12. maddesi kapsamında veri güvenliğine ilişkin tedbirlerin alınmaması olarak değerlendirilebilir ve ihlal bildirimi yükümlülüğünü doğurur. KOBİ'lerde yedekleme sunucusu genellikle tek bir fiziksel makinede, ofis ağının içinde ve çoğu zaman güncelleme takvimi olmadan çalışıyor — bu da riski büyütüyor.

Kamer Bilişim olarak ne öneriyoruz?

• Sürüm envanterinizi bugün çıkarın ve 13.x ise güncelleyin. Backup & Replication konsolunda sürüm numarasına bakın. 13.1 kullanıyorsanız 13.1.2.57, 13.0 kullanıyorsanız 13.0.3.63 yapısına geçin. 12.x kullanıyorsanız bu açık için acil işlem gerekmiyor, ancak destek takviminizi yine de gözden geçirin.
• Yedekleme sunucusunu ağ seviyesinde yalıtın. Yönetim ve CDP servis portlarına erişimi yalnızca belirli yönetici IP'lerinden ve tercihen ayrı bir yönetim VLAN'ı üzerinden açın. Bu bileşenler internete veya tüm ofis ağına açık olmamalı.
• Değiştirilemez (immutable) bir yedek kopya tutun ve geri dönüşü test edin. En az bir kopyayı silinemeyen veya ofis kimlik bilgilerinden bağımsız bir hedefte tutun; üç ayda bir gerçek bir geri yükleme denemesi yapın. Yedeğin varlığı değil, geri dönebilmeniz önemlidir.

Yedekleme altyapınızın sürüm durumunu, ağ yalıtımını ve geri dönüş sürelerini birlikte gözden geçirmek isterseniz iletişim sayfamızdan bize ulaşabilirsiniz. İstanbul Anadolu Yakası genelinde yerinde, diğer bölgelerde uzaktan destek veriyoruz.

Kaynak: SecurityOnline, SOC Prime, Veeam KB4948