Für Veeam Backup & Replication wurden im März 2026 mehrere kritische Sicherheitslücken (CVSS bis 9,9) veröffentlicht. Das BSI (CERT‑Bund) stuft die Lage als kritisch ein und empfiehlt sofortige Updates auf die vom Hersteller bereitgestellten Fix‑Versionen.
Betroffen sind insbesondere Backup‑Server mit Domänenanbindung sowie Umgebungen, in denen Veeam‑Rollen wie Backup Operator oder Backup Viewer vergeben sind.
Welche Versionen sind betroffen?
Nach Hersteller‑ und BSI‑Angaben gelten folgende Versionen als verwundbar:
- Veeam Backup & Replication 12
- 12.3.2.4165 und alle früheren 12.x‑Builds
- Veeam Backup & Replication 13
- 13.0.1.1071 und alle früheren 13.x‑Builds
Mehrere der Schwachstellen ermöglichen Remote Code Execution (RCE) – teilweise bereits mit niedrigen Rollenrechten wie Backup Viewer.
Welche Versionen sind sicher?
Die Sicherheitslücken gelten laut Veeam als behoben ab:
- ✅ Veeam Backup & Replication 12.3.2.4465
- ✅ Veeam Backup & Replication 13.0.1.2067
Diese Versionen schließen alle aktuell bekannten kritischen CVEs für die jeweiligen Hauptversionen. [veeam.com], [veeam.com]
Einschätzung des BSI
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt ausdrücklich vor dem Weiterbetrieb ungepatchter Systeme. In der Warnmeldung wird auf das hohe Missbrauchspotenzial hingewiesen, insbesondere da Backup‑Systeme häufig weitreichende Zugriffsrechte besitzen.
SQL Express, PostgreSQL und Versionen < V12
- PostgreSQL wird erst ab Veeam V12 unterstützt
- Installationen unterhalb von V12 müssen zuerst aktualisiert werden
- Eine Neuinstallation ist nicht grundsätzlich nötig, kann aber erforderlich sein, wenn:
- sehr alte SQL‑Versionen im Einsatz sind
- das Betriebssystem nicht mehr kompatibel ist
Der Wechsel von SQL Express zu PostgreSQL ist keine Update‑Installation, sondern eine Migration der Konfigurationsdatenbank.
Kurzfazit für Admins
- ❗ BSI warnt – Update ist dringend
- ❗ Ungepatchte Backup‑Server sind ein Hochrisiko‑Ziel
- ✅ Sicher ab 12.3.2.4465 bzw. 13.0.1.2067
- ✅ Veeam < V12 zuerst upgraden, PostgreSQL erst danach
- ✅ Migration ≠ Neuinstallation
Kommentare