Veeam Backup & Replication 發布安全性更新！

Veeam Backup & Replication 13 發布安全性更新，修補包含權限繞過、路徑遍歷及 Linux Agent 權限提升在內的 4 項安全漏洞。企業應確認目前部署版本，依照官方公告完成更新，強化備份環境的安全性。

Veeam 於 2026 年 10 月 27 日發布 Veeam Backup & Replication 13.1.2.57 更新，修補多項產品安全性漏洞，涉及 Veeam Backup & Replication（VBR）及 Veeam Agent for Linux。

本次公告共列出 4 項 CVE，其中最高風險的 CVE-2026-108142，CVSS v4.0 評分達 9.1，屬於 Critical（重大）等級。該漏洞可能讓未經驗證的攻擊者繞過 CDP Coordinator Service 的授權機制。

另外三項漏洞則涉及 NAS 備份資料處理時的路徑遍歷，以及 Veeam Agent for Linux 的本機權限提升問題。由於備份平台通常掌握企業重要資料與復原環境，管理者應將這次更新納入近期維護工作。

備份系統的安全性只是資料保護的一環，企業還需要確認備份頻率、資料保存方式，以及發生異常時的還原流程是否完善。若想進一步了解如何建立完整的資料保護架構，可以參考 企業備份策略怎麼規劃？兼顧資料安全與營運需求，從日常備份到資料復原，檢視現有環境是否符合營運需求。

4 項安全漏洞與影響說明

本次 Veeam 官方公告列出的漏洞如下：

其中，CVE-2026-108140 與 CVE-2026-108141 都與 Restore Operator 角色及 NAS 備份分享內容有關，並非一般未授權使用者即可直接利用。CVE-2026-105477 則屬於 Linux Agent 的本機權限提升問題，影響範圍與前三項不同。

除了備份軟體本身的安全漏洞，企業也不能忽略勒索軟體對備份資料的威脅。當攻擊者將備份環境列為攻擊目標，即使企業平時有執行備份，也不代表資料一定能順利復原。關於如何降低備份資料遭到破壞的風險，可以延伸閱讀 備份乾淨度：企業防範勒索軟體的最後防線。

哪些 Veeam 版本受到影響？官方修補版本一次整理

根據 Veeam 官方安全公告 KB4948，前三項漏洞（CVE-2026-108142、CVE-2026-108140、CVE-2026-108141）影響 VBR 13.1 與 13.0 的特定舊版部署；官方指出較舊的 12.x 版本不受這三項漏洞影響。

CVE-2026-105477 則針對 Veeam Agent for Linux 13.1 系列，且僅限由 VBR 管理的安裝環境。

需要特別注意，CVE-2026-105477 的修補版本是 Veeam Agent for Linux 13.1.2 Build 13.1.2.11，並不是單純更新 VBR 13.1.2.57 就能涵蓋所有受影響的 Agent 安裝環境。

企業在檢查漏洞影響時，除了確認 VBR 主程式版本，也應一併核對受管理的 Veeam Agent 版本，避免遺漏個別元件的更新需求。

更新方式與注意事項

這次 VBR 13.1.2 更新除了修補安全漏洞，也包含多項第三方元件更新，因此 Windows 版 VBR 的更新方式需要特別留意。

Veeam 官方說明，13.1.2.57 沒有提供獨立的 Patch ISO 或 ZIP 套件。Windows 部署環境若要升級，應使用完整安裝 ISO，或透過產品內建的 Veeam Updater 執行更新。

企業安排更新時，建議先完成以下檢查：

• 確認目前部署版本： 檢查 VBR 主程式版本，以及受 VBR 管理的 Veeam Agent for Linux 版本。
• 確認適用的修補版本： 依照 13.1 或 13.0 系列，分別確認是否需要升級至官方指定版本。
• 選擇正確的更新方式： Windows 版 VBR 使用完整安裝 ISO 或內建 Veeam Updater，不應以不存在的獨立 Patch ISO 或 ZIP 進行更新。
• 安排更新與驗證： 更新前確認備份作業狀態與維護時程，完成後檢查服務運作及備份工作是否正常。

此外，Veeam 13.1.2.57 的更新內容也包含第三方元件升級，因此企業應依照官方升級檢查清單及自身部署環境安排更新，不宜直接跳過必要的維護評估。

備份系統的安全性，也是企業資料保護的一環

企業導入備份系統，主要目的是在資料遺失、設備故障或資安事件發生時，能夠透過備份資料恢復營運。但如果備份平台本身存在安全漏洞，資料保護架構也可能面臨額外風險。

近期 Synology 也發布安全警示，指出攻擊者已鎖定仍使用過時 DSM 版本的 NAS 設備。這起事件提醒企業，不能只關注備份平台，也必須留意儲存設備本身的安全性。詳細事件可參考 Synology NAS 遭勒索攻擊鎖定！官方呼籲立即更新 DSM，避免資料遭加密。

從備份平台的安全更新，到勒索軟體攻擊手法，企業需要留意的不只是單一系統的漏洞，也包括攻擊者是否可能進一步削弱端點防護與備份機制。可以參考 The Gentlemen 勒索軟體：如何先削弱 EDR 與備份，再進入企業加密階段？，了解勒索軟體攻擊可能對企業資安環境造成的影響。

對企業而言，定期更新備份軟體、檢查管理權限、確認備份資料的保存方式，以及實際測試還原流程，都是維持資料保護能力的重要工作。

鑫捷科技提供企業資料備份、虛擬化與資訊安全相關建置及維運服務，協助企業檢視現有備份環境與資料保護需求，建立更完善的備份與復原機制。

官方參考資料

• Veeam KB4738：Release Information for Veeam Backup & Replication 13 and Updates
• Veeam KB4948：Vulnerabilities Resolved in Veeam Backup & Replication 13.1.2
• Veeam KB3103：List of Security Fixes and Improvements in Veeam Backup & Replication