CVE-2026-44963 — Veeam备份与复制远程代码执行漏洞

由 SentinelX 维护的研究仓库 — 仅用于授权的安全测试和防御目的。

概述

字段	详情
CVE ID	CVE-2026-44963
供应商	Veeam
产品	Backup & Replication
受影响版本	< 12.3.2.4854（所有 v12 构建版本）
修复版本	12.3.2.4854
CVSS v4 评分	9.4 — 严重
CVSS v3 评分	8.8 — 高危
CWE	CWE-502（不可信数据反序列化）
发现者	Sina Kheirkhah @ WatchTowr
披露时间	2026 年 6 月 9 日
供应商公告	KB4869

漏洞描述

CVE-2026-44963 是 Veeam Backup & Replication 中的一个远程代码执行漏洞，由不可信数据的反序列化（CWE-502）引起。该漏洞允许任何经过身份验证的域用户（无需提升权限）在备份服务器上远程执行任意代码。

主要特点

攻击向量： 网络 (AV:N)
攻击复杂度： 低 (AC:L)
所需权限： 低 — 任何域用户 (PR:L)
用户交互： 不需要 (UI:N)
影响范围： 完全系统控制 + 横向移动潜力
利用条件： 目标必须加入域

危险性说明

任何域账户    无需提升权限

网络访问 VBR 服务器

精心构造的反序列化载荷

作为 SYSTEM/服务账户执行远程代码

备份基础设施完全沦陷

仓库结构

CVE-2026-44963/
 README.md # 本文件
 docs/
 technical-analysis.md # 深入技术分析
 timeline.md # 披露与补丁时间线
 references.md # 外部参考
 detection/
 scan_veeam.py # 发现网络中的 Veeam 实例（TCP 扫描）
 check_version.py # 通过 Veeam REST API 检查版本（需要认证）
 http_prober.py # 自定义 HTTP 指纹识别工具 — 无需第三方工具
 remediation/
 patch_checker.py # 验证补丁状态
 hardening.ps1 # 打补丁后的加固脚本
 lab/
 setup.md # 实验室环境搭建指南
 ioc/
 indicators.md # 用于 SIEM/EDR 检测的入侵指标

快速参考

攻击流程（用于授权渗透测试）

1. 侦察             识别加入域的 Veeam VBR 实例
2. 枚举             确认版本 < 12.3.2.4854
3. 访问             获取任意有效的域凭据
4. 利用             发送精心构造的反序列化载荷
5. 后利用           提取配置数据库、收集凭据、横向移动

渗透测试者检查清单

已获得书面授权
范围确认（在范围内的加入域的 VBR 服务器）
在实际测试前已在实验室复现
已制定回滚计划
针对您的操作已启用日志/监控

检测

完整 IOC 列表请参见 ioc/indicators.md。

关键检测点：

Veeam.Backup.Service.exe 异常启动进程
备份服务器上出现意外的 .NET 反序列化活动
VBR 主机出现异常出站连接
审计日志：域用户在非正常时段认证到 VBR

修复措施

立即措施： 将 Veeam Backup & Replication 升级至 12.3.2.4854

加固建议：

限制对 VBR 服务端口的网络访问
对域用户访问应用最小权限原则
将备份服务器隔离到专用 VLAN
在 VBR 上启用增强日志记录

自动化加固脚本请参见 remediation/hardening.ps1。

法律免责声明

本仓库内容严格限制于授权的安全研究、经明确书面许可的渗透测试以及防御/蓝队目的。

未经授权将本材料用于您不拥有或未经明确许可进行测试的系统是违法的，并可能导致刑事起诉。

SentinelX 及本仓库的贡献者不承担因滥用此信息而产生的任何责任。

参考

由 SentinelX 用心制作 | 源自社区，回馈社区

CVE-2026-44963

最受欢迎