CVE-2026-44963 — RCE sur Veeam Backup & Replication

Dépôt de recherche par SentinelX — réservé aux tests de sécurité autorisés et aux fins défensives.

Vue d'ensemble

Description de la vulnérabilité

CVE-2026-44963 est une vulnérabilité d'exécution de code à distance (RCE) dans Veeam Backup & Replication causée par une désérialisation non sécurisée de données non fiables (CWE-502). La vulnérabilité permet à tout utilisateur de domaine authentifié — sans nécessiter de privilèges élevés — d'exécuter du code arbitraire à distance sur le serveur de sauvegarde.

Caractéristiques clés

• Vecteur d'attaque : Réseau (AV:N)
• Complexité d'attaque : Faible (AC:L)
• Privilèges requis : Faibles — tout utilisateur de domaine (PR:L)
• Interaction utilisateur : Aucune (UI:N)
• Portée : Système complet + potentiel de mouvement latéral
• Condition d'exploitation : La cible doit être jointe au domaine

En quoi c'est dangereux

Any domain account No elevated privilege needed

Network access to VBR server

Deserialization of crafted payload

RCE as SYSTEM/service account

Full backup infrastructure compromise

Structure du dépôt

CVE-2026-44963/
 README.md # This file
 docs/
 technical-analysis.md # Deep-dive technical breakdown
 timeline.md # Disclosure & patch timeline
 references.md # External references
 detection/
 scan_veeam.py # Discover Veeam instances on network (TCP scan)
 check_version.py # Check version via Veeam REST API (auth required)
 http_prober.py # Custom HTTP fingerprinter — no third-party tools
 remediation/
 patch_checker.py # Validate patch status
 hardening.ps1 # Post-patch hardening script
 lab/
 setup.md # Lab environment setup guide
 ioc/
 indicators.md # IoCs for SIEM/EDR detection

Référence rapide

Déroulement de l'attaque (pour pentest autorisé)

1. Reconnaissance Identify domain-joined Veeam VBR instances
2. Enumeration Confirm version < 12.3.2.4854
3. Access Obtain any valid domain credentials
4. Exploitation Send crafted deserialization payload
5. Post-exploit Extract config DB, harvest creds, lateral move

Checklist du pentester

• Autorisation écrite obtenue
• Périmètre confirmé (serveurs VBR joints au domaine dans le périmètre)
• Reproduction en laboratoire effectuée avant les tests en conditions réelles
• Plan de rollback en place
• Journalisation/surveillance activée pour vos actions

Détection

Voir ioc/indicators.md pour la liste complète des IoC.

Points de détection clés :

• Lancement de processus anormaux depuis Veeam.Backup.Service.exe
• Activité de désérialisation .NET inattendue sur le serveur de sauvegarde
• Connexions sortantes inhabituelles depuis l'hôte VBR
• Journaux d'authentification : utilisateurs de domaine s'authentifiant sur VBR en dehors des heures normales

Remédiation

Immédiat : Mettre à jour vers Veeam Backup & Replication 12.3.2.4854

Durcissement :

• Restreindre l'accès réseau aux ports du service VBR
• Appliquer le moindre privilège à l'accès des utilisateurs de domaine
• Isoler le serveur de sauvegarde dans un VLAN dédié
• Activer la journalisation avancée sur VBR

Voir remediation/hardening.ps1 pour le script de durcissement automatisé.

Avertissement légal

Ce dépôt est destiné strictement à la recherche en sécurité autorisée, aux tests d'intrusion avec autorisation écrite explicite, et aux fins défensives / d'équipe bleue.

Toute utilisation non autorisée de ce contenu contre des systèmes que vous ne possédez pas ou pour lesquels vous n'avez pas d'autorisation explicite de test est illégale et peut entraîner des poursuites pénales.

SentinelX et les contributeurs de ce dépôt ne sont pas responsables de toute mauvaise utilisation de ces informations.

Références

• Veeam KB4869 — Avis officiel
• NVD — CVE-2026-44963
• Couverture par BleepingComputer
• WatchTowr — Sina Kheirkhah (@SinSinology)
• CWE-502 : Deserialization of Untrusted Data

Fait avec ❤️ par SentinelX | Pour la communauté, par la communauté