Bulletins de Sécurité

Une vulnérabilité critique de type “Exécution de code” affectant la solution Veeam Backup & Replication a récemment été publiée par l’éditeur Veeam le 12 mars 2026.

Le niveau de criticité initial de ces vulnérabilités est de 9.9 (score CVSSv3.1).

• CVE-2026-21666 et CVE-2026-21667 : des failles permettant à un attaquant authentifié avec un compte valide dans le domaine d'exécuter du code arbitraire à distance sur une solution Veeam Backup & Replication jointe au domaine.

• CVE-2026-21669 : une faille permettant à un attaquant authentifié avec un compte valide dans le domaine d'exécuter du code arbitraire à distance sur une solution Veeam Backup & Replication jointe au domaine et hébergée sur une machine Windows.

Ces vulnérabilités donnent la possibilité d’accéder à des données sensibles de l’entreprise sur des machines, telles que des identifiants Active Directory, des informations de connexion à des systèmes internes ou des données internes sensibles.

Un attaquant pourra ainsi accéder à l’ensemble du SI et déployer un rançongiciel, il pourrait également être en mesure de supprimer toutes les sauvegardes, rendant impossible la restauration de celles-ci en cas de chiffrement du SI.  

Aucun PoC ou exploit n’est encore disponible en source ouverte à l’heure actuelle mais l’on peut s’attendre à une publication dans les prochains jours.

Étant donné la criticité d’un système de sauvegarde, nous préconisons de corriger cette vulnérabilité dès que possible. Si l’actif est exposé sur internet, cette correction doit se faire sans délai.