CVE-2026-44963 — Удаленное выполнение кода в Veeam Backup & Replication

Исследовательский репозиторий от SentinelX — только для авторизованного тестирования безопасности и защитных целей.

Обзор

Описание уязвимости

CVE-2026-44963 — это уязвимость удаленного выполнения кода (RCE) в Veeam Backup & Replication, вызванная небезопасной десериализацией недоверенных данных (CWE-502). Уязвимость позволяет любому аутентифицированному пользователю домена — без необходимости повышенных привилегий — удаленно выполнить произвольный код на сервере резервного копирования.

Ключевые характеристики

Что делает это опасным

Any domain account No elevated privilege needed

Network access to VBR server

Deserialization of crafted payload

RCE as SYSTEM/service account

Full backup infrastructure compromise

Структура репозитория

CVE-2026-44963/
 README.md # This file
 docs/
 technical-analysis.md # Deep-dive technical breakdown
 timeline.md # Disclosure & patch timeline
 references.md # External references
 detection/
 scan_veeam.py # Discover Veeam instances on network (TCP scan)
 check_version.py # Check version via Veeam REST API (auth required)
 http_prober.py # Custom HTTP fingerprinter — no third-party tools
 remediation/
 patch_checker.py # Validate patch status
 hardening.ps1 # Post-patch hardening script
 lab/
 setup.md # Lab environment setup guide
 ioc/
 indicators.md # IoCs for SIEM/EDR detection

Краткая справка

Цепочка атаки (для авторизованного пентеста)

1. Reconnaissance Identify domain-joined Veeam VBR instances
2. Enumeration Confirm version < 12.3.2.4854
3. Access Obtain any valid domain credentials
4. Exploitation Send crafted deserialization payload
5. Post-exploit Extract config DB, harvest creds, lateral move

Чек-лист пентестера

• Получено письменное разрешение
• Подтверждена область (серверы VBR, присоединенные к домену, входят в область)
• Завершено воспроизведение в лаборатории перед тестированием в реальной среде
• Подготовлен план отката
• Включено логирование/мониторинг ваших действий

Обнаружение

См. ioc/indicators.md для полного списка IoC.

Ключевые точки обнаружения:

• Аномальный запуск процессов из Veeam.Backup.Service.exe
• Неожиданная активность десериализации .NET на сервере резервного копирования
• Необычные исходящие соединения с хоста VBR
• Журналы аутентификации: пользователи домена, аутентифицирующиеся на VBR вне обычного времени

Устранение

Немедленно: Установите патч для Veeam Backup & Replication 12.3.2.4854

Усиление защиты:

• Ограничьте сетевой доступ к портам службы VBR
• Примените принцип минимальных привилегий для доступа пользователей домена
• Изолируйте сервер резервного копирования в выделенной VLAN
• Включите расширенное логирование на VBR

См. remediation/hardening.ps1 для автоматизированного скрипта усиления защиты.

Правовое предупреждение

Этот репозиторий предназначен строго для авторизованного исследования безопасности, тестирования на проникновение с явным письменным разрешением и для защитных целей (blue team).

Несанкционированное использование этих материалов против систем, которые вам не принадлежат или на тестирование которых у вас нет явного разрешения, является незаконным и может повлечь уголовное преследование.

SentinelX и участники этого репозитория не несут ответственности за любое неправомерное использование этой информации.

Ссылки

• Veeam KB4869 — Официальная рекомендация
• NVD — CVE-2026-44963
• BleepingComputer Coverage
• WatchTowr — Sina Kheirkhah (@SinSinology)
• CWE-502: Десериализация недоверенных данных

Made with by SentinelX | For the community, by the community