Veeam 12 får en konkret säkerhetsrättning

Veeam publicerade den 6 oktober säkerhetsbulletinen KB4934 och patchen Backup & Replication 12.3.2 P4. Den viktigaste bristen är CVE-2025-64393. Enligt leverantören kan ett konto med rollen Backup Viewer köra kod på backupservern genom en brist i Mount Service. CNA-posten preciserar kodkörning som SYSTEM på backupservern. Det är autentiserad kodkörning, inte ett verifierat oautentiserat internetangrepp.

Nyheten berör skyddet av själva backupmiljön. För företag som är beroende av återställning efter driftstörningar är det en viktig skillnad mot ett vanligt klientfel. Backupserverns behörigheter och åtkomst till andra resurser behöver ingå i bedömningen, även när servern inte är exponerad direkt mot internet.

CVE-registrets CNA-post publicerades den 7 oktober och uppdaterades den 8 oktober. Årtalet 2025 i CVE-numret är alltså inte bulletinens publiceringsår. Artikeln behandlar det aktuella rättningsbeskedet och dess praktiska versionskrav.

Riskbild och berörda versioner

Både CNA-registret och Veeam anger Critical och CVSS 4.0-poängen 9,4 för CVE-2025-64393. CNA-posten markerar version 12 före 12.3.2.4934 som berörd. Leverantörens bulletin preciserar 12.3.2 P3, build 12.3.2.4854, och äldre version 12-byggen. Rättningen börjar i P4, build 12.3.2.4934.

Version 13 berörs inte av de sårbarheter som KB4934 beskriver. Det beskedet ska inte utökas till ett påstående om att version 13 är fri från alla säkerhetsproblem. Det gäller de namngivna felen i denna bulletin och säger inget om andra komponenter eller felaktig lokal konfiguration.

Backup Viewer är central för förutsättningarna. Rollen ska inte behandlas som riskfri enbart för att den inte heter administratör. Samtidigt ska det autentiseringskravet behållas när riskbilden beskrivs. Vi har inte verifierat generell rootåtkomst i Linux eller kompromettering av samtliga repositories som följd av varje försök.

Närliggande fel följer samma rättningsmål

KB4934 omfattar även CVE-2026-93026, klassad Medium med CVSS 4.0 6,1. Den gäller ett autentiserat Backup Viewer-kontos möjlighet att påverka Enterprise Manager-nyckel och lagrade antivirusuppdateringsuppgifter.

CVE-2025-64392 gäller reflekterad cross-site scripting i Backup Enterprise Manager, klassad Medium med CVSS 4.0 4,8. Även den rättas i P4 enligt samma bulletin. Dessa fel behöver inte bli separata publiceringar när samma versionskontroll och uppdateringsmål täcker dem.

Prioritera den kritiska kodkörningsbristen, men inventera även Enterprise Manager om det används. LabOps IT:s rekommendation är att samla berörda komponenter och ägare i ett gemensamt ändringsunderlag. Det gör det lättare att undvika att en uppdaterad huvudserver felaktigt används som bevis för hela miljön.

Ingen bekräftad aktiv exploatering i granskningen

CVE-2025-64393 fanns inte i den CISA KEV-katalog som kontrollerades den 12 oktober; katalogversionen var 2026.10.08. De granskade källorna gav ingen bekräftelse på aktiv exploatering. Frånvaro i KEV är däremot inte ett bevis på att ett fel aldrig har utnyttjats.

En fungerande offentlig PoC har inte verifierats, och vi har inte hämtat eller testat exploateringskod. Någon specifik ransomwarekampanj eller lokal kompromettering fastställs inte. Rådet om skyndsam uppdatering bygger på verifierad konsekvens, berördhet och patchtillgång, inte på ett påhittat angreppsbesked.

Om driftteamet redan ser tecken på obehörig aktivitet ska organisationens incidentrutiner styra. Patchning och incidentutredning är separata arbetsuppgifter. En installerad rättning återställer inte automatiskt tidigare ändringar, läckta uppgifter eller missbrukad åtkomst.

Patchfilen passar inte varje gammal installation

Veeams releaseinformation KB4696 beskriver två uppgraderingsvägar. Den mindre patchfilen kan användas för 12.3.2.3617, 12.3.2.4165, 12.3.2.4465 och 12.3.2.4854. För tidigare angivna leveranser behövs i stället den fullständiga uppgraderings-ISO:n och leverantörens uppgraderingschecklista.

Det är därför inte tillräckligt att veta att miljön kör version 12. Kontrollera fullständigt buildnummer innan paket väljs. Fel uppdateringspaket kan nekas av installationsprogrammet och fördröja förändringen. Dokumentera vald väg och hämtning från leverantörens officiella distributionsunderlag.

ISO-filnamnet innehåller ett septemberdatum, men releasehistoriken anger den 6 oktober som publiceringsdatum för denna leverans. Filnamn och releasebesked ska inte användas som utbytbara datumkällor. Artikeln fastställer inte separata nya supportkrav för varje hypervisor eller storageintegration.

Från inventering till återställningstest

LabOps IT rekommenderar fyra steg: inventera version och kontoåtkomst, förbered rätt uppgraderingsväg, installera den dokumenterade rättningen och verifiera tjänster samt återställning. Illustrationen visar denna försvarsordning och innehåller inga exploateringssteg.

Rekommenderad kontrollordning. Animationen visar patchning och återställningskontroll, inte exploatering.

Börja med ansvarig för backupservern och den som beslutar om verksamhetens återställningskrav. Kontrollera administrativ nåbarhet och konton med relevant roll. En miljö som saknar direkt internetexponering kan ändå nås från andra interna system eller genom ett komprometterat konto.

En tillfällig åtkomstbegränsning kan vara ett sätt att minska exponeringen medan förändringen förbereds. Det är inte en verifierad universell workaround. Begränsningen behöver ägare, tidsgräns och kontrollerade konsekvenser för operatörer och beroende tjänster.

Planera hanteringen av pågående backup-, återställnings- och andra schemalagda jobb innan installationen. Säkra konfigurationsunderlag enligt egna rutiner. Undvik att improvisera kring den enda fungerande återställningsvägen; kontrollera leverantörens rekommendationer och organisationens förändringsprocess.

Driftpåverkan och kontroll efteråt

KB4696 anger att omstart kan krävas. Artikeln utlovar därför inte avbrottsfri patchning. Exakt avbrottslängd beror på installationen och har inte mätts av LabOps IT. Planera underhållsfönstret tillsammans med arbetslastägare och backupansvariga.

Efter ändringen behöver fullständigt aktivt buildnummer, tjänsternas funktion och relevanta komponenter kontrolleras. Testa ett avgränsat jobb och en representativ återställning med godkänt testmaterial. En grön installationsdialog är svagare bevis än ett dokumenterat fungerande återställningsförfarande.

Kontrollera också vad som händer med scheman och åtkomst efter eventuell omstart. Dokumentera vilka tester som lyckades, vad som återstår och vem som godkänner avslut. Om något inte fungerar ska en återställningsplan väga in säkerhetsrisken med att återgå till ett sårbart bygge.

LabOps IT:s bedömning

Prioriteten är Hög för en verifierat berörd backupmiljö. Kombinationen av kritisk autentiserad kodkörning, backupserverns betydelse och tillgänglig rättning motiverar skyndsam hantering. Vi klassar inte alla miljöer som Akut enbart på grund av CVSS-poängen.

Akut hantering kan vara motiverad vid egna incidentindikatorer eller särskilt allvarlig verifierad exponering; det är då organisationens konkreta riskbild som avgör. Planerad uppföljning passar installationer där rättningen redan kontrollerats eller där version 13 dokumenterat gör dessa specifika fel irrelevanta.

Patcha rätt version och verifiera återställning, men använd inte förändringen som ett generellt friskintyg. Backupmiljön behöver fortsatt kontrollerad åtkomst och dokumenterad drift. Det är vår praktiska slutsats, skild från leverantörens officiella allvarlighetsklassning.

Källor