CVE-2026-44963 — Veeam Backup & Replication RCE

Repositório de pesquisa por SentinelX — apenas para testes de segurança autorizados e fins defensivos.

Visão Geral

Descrição da Vulnerabilidade

CVE-2026-44963 é uma vulnerabilidade de Execução Remota de Código (RCE) no Veeam Backup & Replication causada por desserialização insegura de dados não confiáveis (CWE-502). A vulnerabilidade permite que qualquer usuário de domínio autenticado — sem necessidade de privilégios elevados — execute código arbitrário remotamente no Servidor de Backup.

Principais Características

• Vetor de Ataque: Rede (AV:N)
• Complexidade do Ataque: Baixa (AC:L)
• Privilégios Necessários: Baixo — qualquer usuário de domínio (PR:L)
• Interação do Usuário: Nenhuma (UI:N)
• Escopo: Sistema completo + potencial de movimento lateral
• Condição de Exploração: O alvo deve estar associado ao domínio

O Que Torna Isso Perigoso

Any domain account No elevated privilege needed

Network access to VBR server

Deserialization of crafted payload

RCE as SYSTEM/service account

Full backup infrastructure compromise

Estrutura do Repositório

CVE-2026-44963/
 README.md # This file
 docs/
 technical-analysis.md # Deep-dive technical breakdown
 timeline.md # Disclosure & patch timeline
 references.md # External references
 detection/
 scan_veeam.py # Discover Veeam instances on network (TCP scan)
 check_version.py # Check version via Veeam REST API (auth required)
 http_prober.py # Custom HTTP fingerprinter — no third-party tools
 remediation/
 patch_checker.py # Validate patch status
 hardening.ps1 # Post-patch hardening script
 lab/
 setup.md # Lab environment setup guide
 ioc/
 indicators.md # IoCs for SIEM/EDR detection

Referência Rápida

Fluxo de Ataque (para pentest autorizado)

1. Reconnaissance Identify domain-joined Veeam VBR instances
2. Enumeration Confirm version < 12.3.2.4854
3. Access Obtain any valid domain credentials
4. Exploitation Send crafted deserialization payload
5. Post-exploit Extract config DB, harvest creds, lateral move

Lista de Verificação do Pentester

• Autorização por escrito obtida
• Escopo confirmado (servidores VBR associados ao domínio no escopo)
• Reprodução em laboratório concluída antes do teste ao vivo
• Plano de reversão em vigor
• Registro/monitoramento habilitado para suas ações

Detecção

Veja ioc/indicators.md para a lista completa de IoCs.

Principais pontos de detecção:

• Criação anômala de processos a partir de Veeam.Backup.Service.exe
• Atividade inesperada de desserialização .NET no Servidor de Backup
• Conexões de saída incomuns do host VBR
• Logs de autenticação: usuários de domínio autenticando no VBR fora do horário normal

Remediação

Imediata: Aplicar patch para Veeam Backup & Replication 12.3.2.4854

Endurecimento:

• Restringir acesso de rede às portas de serviço do VBR
• Aplicar privilégio mínimo ao acesso de usuários de domínio
• Isolar o Servidor de Backup em VLAN dedicada
• Habilitar registro aprimorado no VBR

Veja remediation/hardening.ps1 para o script automatizado de endurecimento.

Aviso Legal

Este repositório destina-se estritamente a pesquisas de segurança autorizadas, testes de penetração com permissão explícita por escrito e fins defensivos/equipe azul.

Uso não autorizado deste material contra sistemas que você não possui ou não tem permissão explícita para testar é ilegal e pode resultar em processo criminal.

O SentinelX e os contribuidores deste repositório não são responsáveis por qualquer uso indevido destas informações.

Referências

• Veeam KB4869 — Aviso Oficial
• NVD — CVE-2026-44963
• Cobertura do BleepingComputer
• WatchTowr — Sina Kheirkhah (@SinSinology)
• CWE-502: Desserialização de Dados Não Confiáveis

Feito com ❤️ por SentinelX | Para a comunidade, pela comunidade