Actualizar Veeam Backup: la versión que corrige el fallo crítico

Vulnerabilidad en Veeam Backup & Replication: lo que ha corregido Veeam

En un estudio de arquitectura de Zaragoza, las copias de seguridad las hace un ordenador que el proveedor informático dejó en un armario, junto al NAS (el servidor de archivos de la oficina). Cada noche, Veeam Backup & Replication copia los proyectos del NAS y los portátiles de las cinco personas del estudio. Nadie ha abierto la consola del programa desde la instalación: las copias salen solas y el informe llega cada mañana por correo. Ese ordenador es el que conviene revisar esta semana.

Veeam publicó el 27 de octubre de 2026 la versión 13.1.2 de Backup & Replication, que corrige cuatro vulnerabilidades comunicadas por investigadores a través de HackerOne, una plataforma de avisos de seguridad. INCIBE publicó el 29 de octubre un aviso para empresas sobre estas correcciones, con importancia crítica. Las versiones afectadas y las corregidas son las mismas en España y en América Latina: el programa no cambia según el país.

Un servidor de copias no es un equipo más de la oficina. Guarda una copia de todo lo demás y las credenciales con las que entra en el NAS y en los servidores que copia. La CISA, la agencia de ciberseguridad de Estados Unidos, recoge en su catálogo de vulnerabilidades explotadas cuatro fallos anteriores de Veeam Backup & Replication, añadidos entre diciembre de 2022 y octubre de 2024, y marca los cuatro como usados en campañas de ransomware. Por eso merece la misma atención que el cortafuegos de la oficina.

Qué versiones están afectadas

Veeam distingue sus versiones por rama: 12, 13.0, 13.1. Lo que cuenta es el número completo de la tuya, que en Veeam se llama build.

Dos detalles de la tabla. La 13.0.3 salió en agosto y ya incluía la corrección: si tu servidor en la rama 13.0 se actualizó después del 25 de agosto, puede que no tengas que hacer nada, pero compruébalo. Y la edición gratuita, Veeam Backup & Replication Community Edition, que Veeam limita a diez cargas de trabajo (equipos, máquinas virtuales o carpetas de un NAS), es una edición del mismo programa: su número de versión se lee igual y la tabla vale para ella.

Qué hacen los cuatro fallos

• CVE-2026-108142, crítico (9.1 sobre 10 en la escala CVSS 4.0). Un atacante sin cuenta ni contraseña podría saltarse las restricciones de acceso de CDP Coordinator, el servicio que coordina la protección continua de datos, y usar funciones reservadas a usuarios autorizados. La puntuación publicada por Veeam indica que el ataque se hace a través de la red y que necesita alguna condición previa, que Veeam no detalla.
• CVE-2026-108140 y CVE-2026-108141, medios (5.9). Un usuario con el rol Restore Operator (operador de restauración) que además controle el contenido de una carpeta compartida de un NAS incluida en las copias podría escribir archivos en cualquier ruta del servidor de copias.
• CVE-2026-105477, alto (7.3). Quien ya tenga acceso a un equipo Linux con el agente de Veeam podría obtener más permisos de los que tiene asignados. Solo afecta a los agentes gestionados desde Backup & Replication.

A 29 de octubre de 2026, el aviso de INCIBE marca los cuatro como no explotados, y ninguno figura en el catálogo de la CISA (versión del 28 de octubre). Es el momento de actualizar: antes de que alguien publique cómo aprovecharlos.

Cómo ver qué versión tienes

1. Abre la consola de Veeam Backup & Replication en el servidor de copias o en el ordenador desde el que lo administras.
2. Mira la barra de estado, en la parte inferior: muestra el build del servidor, cuatro números separados por puntos, como 13.1.1.18.
3. También lo encuentras en Main Menu > Help > About (menú principal, Ayuda, Acerca de).
4. Compáralo con la tabla. Veeam mantiene la lista completa de versiones en su artículo KB2680.

La 13.1.2 llega también por Veeam Updater, el actualizador del programa. Según las notas de Veeam, primero a Veeam Software Appliance 13.1 y después, de forma gradual, a las instalaciones de la 13.1 en Windows. Gradual quiere decir que tu servidor puede tardar días en recibirla. Si no quieres esperar, Veeam permite descargar el instalador de la 13.1 desde My Account, su portal de clientes.

Con licencia de pago, ten presente una regla que Veeam recuerda en su lista de comprobación para la versión 13: el contrato de soporte debe estar activo en la fecha de compilación de la versión que instalas. Si el contrato venció, habla antes con tu proveedor o con Veeam.

Si sigues en la 12 y piensas pasar a la 13

Este aviso no te afecta: Veeam indica que la rama 12 no tiene estos fallos. Si de todos modos tenías previsto el salto, la lista de comprobación de Veeam da tres datos útiles:

• el archivo de licencia de las versiones 10, 11 o 12 sirve para instalar la 13;
• el servidor necesita el puerto 443 abierto, y también el 6162 si vienes de la 12; sin el 443, la actualización se bloquea;
• si piensas pasar de una instalación en Windows a Veeam Software Appliance, Veeam pide no actualizar a la 13.1, quedarse en el último parche de la 13.0 y contactar con su soporte.

En cualquier caso, instala directamente una versión corregida, la 13.1.2 o la 13.0.3, y no una anterior que tengas descargada.

Tres cosas que revisar en el servidor de copias

1. Quién puede restaurar. Los dos fallos medios exigen el rol Restore Operator. La propia documentación de Veeam advierte de que ese rol puede restaurar archivos con contenido malicioso desde cualquier copia y pide asignarlo con precaución. Revisa quién lo tiene en Main Menu > Users & Roles: una persona que solo consulta informes no necesita restaurar.
2. Desde dónde se llega al servidor. El fallo crítico no necesita contraseña. La consola y los servicios de Veeam deberían ser accesibles solo desde la red de la oficina, nunca publicados en internet. Si tu proveedor lo administra a distancia, que entre por la VPN.
3. Una copia que el servidor no pueda tocar. Si alguien toma el control del servidor de copias, controla también las copias que gestiona. Veeam ofrece copias inmutables, que no se pueden modificar ni borrar durante el plazo que fijes; la alternativa sencilla es un disco que se desconecta y se rota. Es la copia externa de la regla 3-2-1 aplicada a una pyme. Veeam hace además una copia diaria de su propia configuración: comprueba que se guarda en otro sitio y no solo en el mismo servidor.

El mensaje para tu proveedor

Si es tu proveedor quien instaló y vigila Veeam, puedes enviarle esto:

Hola, [nombre]. INCIBE ha publicado el 29 de octubre un aviso crítico sobre Veeam Backup & Replication (INCIBE-2026-805). Necesito saber:

1. qué build exacto tiene nuestro servidor de copias;
2. si ya está en la 13.1.2 (13.1.2.57) o en la 13.0.3 (13.0.3.63), o si sigue en la rama 12, que no está afectada;
3. si hay agentes de Veeam para Linux en nuestros equipos y en qué versión;
4. quién tiene el rol Restore Operator y desde dónde se puede entrar en la consola;
5. cuándo se probó por última vez a restaurar una copia.

Gracias.

La última pregunta no tiene que ver con el aviso, pero es la que más dice del estado de tus copias: una copia que nadie ha probado a restaurar es una promesa, no una copia.

Lista para esta semana

1. Mira el build en la barra de estado de la consola o en Help > About.
2. Si estás en la 13.1 o la 13.0 sin corregir, instala la 13.1.2 o la 13.0.3. Si estás en la 12, anota el aviso y sigue con tu plan.
3. Actualiza a la 13.1.2 los agentes de Veeam para Linux de la rama 13.1.
4. Revisa quién tiene el rol Restore Operator.
5. Comprueba que la consola no es accesible desde internet.
6. Después de actualizar, restaura un archivo de prueba.

Si crees que alguien ha entrado ya en tu servidor de copias, en España puedes llamar al 017, la línea de ayuda en ciberseguridad de INCIBE, gratuita y confidencial.