Veeam Backup & Replication'da CVSS 9,4 puanlı kritik bir açık kapatıldı. Yalnızca görüntüleme yetkisi olan bir hesap, yedekleme sunucusunda kod çalıştırabiliyor.
Yedekleme yazılımı pazarının en yaygın ürünlerinden biri olan Veeam Backup & Replication için 6 Ekim 2026'da kritik seviyeli bir güvenlik güncellemesi yayımlandı. KB4934 numaralı resmî bültende üç zafiyet kapatıldı; bunlardan CVE-2025-64393, CVSS 4.0 ölçeğinde 10 üzerinden 9,4 puanla kritik olarak derecelendirildi.
Veeam'in açıklamasına göre zafiyet, Mount Service bileşenine ulaşan verinin güvensiz biçimde seri durumdan çıkarılmasından kaynaklanıyor. Sonuçta Backup Viewer rolüne sahip, yani normal şartlarda yalnızca görüntüleme yetkisi bulunan düşük yetkili bir hesap, yedekleme sunucusunda uzaktan kod çalıştırabiliyor. Açık, 12.3.2.4854 ve daha eski tüm sürüm 12 yapılarını etkiliyor. Düzeltme 12.3.2 P4 (build 12.3.2.4934) ile geldi; sürüm 13 etkilenmiyor.
Aynı pakette kapatılan CVE-2026-93026 (CVSS 6,1) yine Backup Viewer hesaplarıyla erişilebiliyor ve Enterprise Manager ana anahtarının değiştirilmesine ya da silinmesine imkân tanıyor. CVE-2025-64392 (CVSS 4,8) ise Enterprise Manager arayüzündeki yansıyan XSS açığı. Veeam, bültende vahşi doğada sömürü tespit edildiğine dair bir bilgi paylaşmadı; kamuya açık bir istismar kodu da doğrulanmış değil.
Yedekleme sunucusu neden kritik bir hedef?
Fidye yazılımı gruplarının yıllardır değişmeyen bir alışkanlığı var: şifrelemeye başlamadan önce yedekleri devre dışı bırakmak. Yedekleme sunucusu ele geçirildiğinde saldırgan hem geri dönüş imkânını ortadan kaldırıyor hem de tek noktadan tüm sunucuların verisine ulaşıyor. Veeam kurulumlarının geçmişte de hedef alındığını biliyoruz; CVE-2024-40711 ve CVE-2025-23120 gibi açıklar yama yayımlandıktan kısa süre sonra saldırılarda kullanılmıştı.
Bu açığın asıl can sıkıcı yanı, başlangıç noktasının yüksek yetkili bir yönetici hesabı olmaması. Backup Viewer, birçok kurumda raporlama yapan personele, iç denetim ekibine veya dış hizmet sağlayıcılara rahatlıkla verilen bir rol. Yetki envanteri düzenli tutulmayan ortamlarda bu rolün kimlerde olduğu çoğu zaman bilinmiyor.
Türkiye ve KOBİ tarafındaki karşılığı
Türkiye'de orta ölçekli işletmelerin sanallaştırma ve yedekleme katmanı büyük ölçüde VMware veya Hyper-V üzerinde Veeam ile kurgulanıyor. Bu kurulumların önemli bölümü tek bir sunucu üzerinde çalışıyor ve sürüm güncellemeleri genellikle yılda bir iki kez, uygun bakım penceresi bulunduğunda yapılıyor. Pratikte bu, pek çok şirketin halen 12.3.2.4854 veya daha eski bir yapıda olduğu anlamına geliyor.
KVKK boyutu da göz ardı edilmemeli. Yedekleme sunucusu üzerinden gerçekleşecek bir ihlal, kurumun tüm sistemlerindeki kişisel veriye erişim anlamına gelebilir ve 6698 sayılı Kanun'un 12. maddesi kapsamındaki veri güvenliği yükümlülüğünün ihlali olarak değerlendirilir. İhlalin öğrenilmesinden itibaren 72 saat içinde Kurul'a bildirim yapılması gerekir.
Kamer Bilişim olarak ne öneriyoruz?
- Sürümünüzü bugün doğrulayın, 12.3.2.4934'e yükseltin. Konsolda Help > About ekranından build numarasını kontrol edin. 12.3.2.4854 veya altındaysanız yükseltmeyi bir sonraki bakım penceresine bırakmayın; yama öncesi yedekleme yapılandırmasının ve veritabanının kopyasını alın.
- Backup Viewer başta olmak üzere tüm rolleri gözden geçirin. Kimlerin hangi rolde olduğunu listeleyin, ayrılan personelin ve artık çalışmadığınız tedarikçilerin hesaplarını kapatın. Yedekleme konsoluna erişen her hesapta çok faktörlü doğrulama açık olsun.
- Yedekleme sunucusunu ağ seviyesinde yalıtın ve değiştirilemez kopya tutun. Konsol erişimini yalnızca belirli yönetim IP'lerine açın, sunucuyu etki alanı yöneticileriyle aynı güven sınırına koymayın ve en az bir yedek kopyayı silinemez (immutable) depolamada veya çevrimdışı ortamda saklayın.
Yedekleme altyapınızın hangi sürümde çalıştığından emin değilseniz veya yükseltmeyi kesintisiz planlamak istiyorsanız, İstanbul Anadolu Yakası genelinde ve uzaktan destekle hizmet veren ekibimiz yanınızda. Mevcut Veeam kurulumunuzun sürüm, rol ve geri dönüş testi kontrolü için iletişim sayfamızdan bize ulaşabilirsiniz.
Kaynak: Veeam KB4934 resmî güvenlik bülteni ve Singapur Siber Güvenlik Ajansı (CSA) AL-2026-138 uyarısı
Kaynak: Veeam KB4934