Masaüstü bir LTO teyp yedekleme sürücüsü ve yanında teyp kartuşu kutusu (temsili görsel; haberdeki Veeam ürününün ya da açığın görüntüsü değildir)

Veeam, 27 Ekim 2026 tarihinde yayımladığı KB4948 numaralı güvenlik bülteninde Veeam Backup & Replication 13 sürümlerinde kimliği doğrulanmamış bir saldırganın CDP Coordinator Service üzerinde yetkilendirmeyi atlatmasına yol açan CVE-2026-108142 açığını duyurdu. Veeam'in kritik olarak sınıflandırdığı açığın CVSS v4.0 puanı 9,1 olarak açıklandı. Düzeltmeler 13.1.2.57 ve 13.0.3.63 yapılarıyla kullanıma sunuldu. Bülten bu açıkla birlikte üç açığı daha kapsıyor. Dört açığın hiçbiri CISA'nın istismar edildiği bilinen açıklar (KEV) kataloğunda yer almıyor ve gerçek bir saldırıda kullanıldıkları bildirilmedi.

Hangi sürümler etkileniyor

Bültende yer alan tüm açıklar HackerOne üzerinden Veeam'e iletildi ve CVE kayıtları 27 Ekim 2026 tarihinde yayımlandı. Veeam'in paylaştığı CVSS v4.0 vektörüne göre CVE-2026-108142 ağ üzerinden, kimlik bilgisi ve kullanıcı etkileşimi gerekmeden tetiklenebiliyor; vektör saldırının belirli ön koşullara bağlı olduğunu da gösteriyor. CVE kaydında zayıflık türü «güvenli biçimde başarısız olmama» olarak geçiyor. Veeam bülteninde açığın yetkilendirme atlatmanın ötesinde nasıl bir sonuç doğurabileceğine dair ayrıntı yer almıyor.

Açıktan Windows tabanlı Veeam Backup & Replication ile Veeam Software Appliance dağıtımları etkileniyor. Sürüm tarafında 13.1.1.18 ve önceki tüm 13.1 yapıları ile 13.0.2.29 ve önceki tüm 13.0 yapıları etkilenen sistemler arasında yer alıyor. Veeam'e göre 12.x gibi eski sürümler etkilenmiyor. Sorun Backup & Replication 13.1.2 (yapı 13.1.2.57) ve 13.0.3 (yapı 13.0.3.63) ile giderildi.

Bültendeki diğer açıklar

Bültende yer alan CVE-2026-108140 ve CVE-2026-108141 kodlu açıklar, Restore Operator rolüne sahip ve yedeklenen bir NAS paylaşımının içeriğini kontrol eden kimliği doğrulanmış bir kullanıcının göreli yol geçişi yoluyla yedekleme sunucusunda istediği konuma dosya yazabilmesine olanak veriyor. Orta önem derecesindeki bu açıkların CVSS v4.0 puanı 5,9 olarak belirlendi. Veeam'e göre bu iki açıkta etkilenen ve düzeltilmiş yapılar CVE-2026-108142 ile aynı; 12.x sürümleri bunlardan da etkilenmiyor.

Dördüncü zafiyet olan CVE-2026-105477, Veeam Agent for Linux bileşeninde yerel yetki yükseltmeye izin veriyor. Bu açıktan yalnız bir Veeam Backup & Replication sunucusu tarafından yönetilen kurulumlar etkileniyor. CVSS v4.0 puanı 7,3 olan yüksek önem dereceli açık, Agent for Linux 13.1.1.4 ve önceki 13.1 yapılarını kapsıyor; 13.0.x ve 6.x sürümleri etkilenmiyor. Düzeltme Agent for Linux 13.1.2 (yapı 13.1.2.11) ile sağlandı.

Ne yapılmalı

Veeam, bir açık ve düzeltmesi duyurulduktan sonra saldırganların güncellemeyi tersine mühendislikle inceleyerek güncellenmemiş kurulumları hedeflemeye çalışmasının olası olduğunu belirtiyor. Şirket, müşterilerin en güncel sürümü kullanmasının ve güvenlik güncellemesi paketlerini gecikmeden kurmasının önemli olduğunu vurguluyor.

Sistem yöneticilerinin yedekleme altyapılarında sürüm kontrolü yapması gerekiyor. 13.1 dalındaki kurulumların 13.1.2.57 ya da sonrasına, 13.0 dalındakilerin 13.0.3.63 ya da sonrasına yükseltilmesi öneriliyor. Backup & Replication tarafından yönetilen Linux ajanlarının Agent for Linux 13.1.2.11 yapısına taşınması da önem taşıyor. Genel iyi uygulama olarak yedekleme sunucusunun internete açık tutulmaması, yönetim ağının ayrılması ve Restore Operator gibi rollere sahip hesapların gözden geçirilmesi riski azaltıyor.

Türkiye açısından

T.C. Siber Güvenlik Başkanlığı (SGB), 28 Ekim 2026'da yayımladığı TR-26-1411 numaralı Veeam güvenlik bildiriminde Agent for Linux açığı CVE-2026-105477'ye yer verdi; bu bildirimi SGB'nin 28 Ekim tarihli güvenlik bildirimlerini derlediğimiz yazıda aktarmıştık. TR-26-1411'de CVE-2026-108142, CVE-2026-108140 ve CVE-2026-108141 yer almıyor; SGB'nin bu açıklar için ayrı bir bildirimi de bu yazının hazırlandığı sırada bulunmuyordu. Açıklara ilişkin Türkiye'ye özgü bir etki verisi açıklanmadı; Veeam, Türkiye'de de kurumlarda kullanılan bir yedekleme yazılımı.

Kaynaklar

Kapak görseli (temsili): LTO teyp yedekleme sürücüsü; haberdeki Veeam ürününün ya da açığın görüntüsü değildir — Robert (jemimus), Wikimedia Commons, CC BY 2.0 (1200×675 kırpıldı ve küçültüldü).