// HEISE ONLINE — CYBERSECURITY
Schadcode-Sicherheitslücken bedrohen Veeam Management Pack
Das Veeam Management Pack für Microsoft System Center ist verwundbar. Abhilfe schafft ein Upgrade auf Version 13.1.
Angreifer können Server mit Veeam Management Pack, auf denen die betroffenen Dienste laufen, attackieren und Schadcode ausführen. Dagegen abgesicherte Ausgaben stehen zum Download bereit.
Betroffen sind den Entwicklern zufolge Version 9.1 und ältere 9.x-Ausgaben des Veeam Management Packs for Microsoft System Center – auch mit installiertem Kompatibilitätspatch für Veeam Backup & Replication 13. Für den Versionszweig 9.x wird es keinen separaten Fix geben. Admins müssen auf die abgesicherte Version 13.1.0.334 umsteigen. Ein direktes Upgrade unterstützt Veeam allerdings nur von Version 9a, Build 9.1.0.3107. Vor dem Umstieg sollten Admins daher ihre installierte Version prüfen.
Das Veeam Management Pack for Microsoft System Center ist eine Erweiterung für Microsoft System Center Operations Manager (SCOM). Damit überwachen Admins Veeam Backup & Replication sowie VMware-vSphere- und Microsoft-Hyper-V-Umgebungen in der SCOM-Konsole. Das Management Pack zeigt unter anderem den Zustand von Backup-Jobs und Infrastrukturkomponenten an, meldet Probleme und bietet Berichte zu Verfügbarkeit und Leistung. Es ist ein Monitoring- und Reporting-Werkzeug – nicht die Backup-Software selbst.
In einer Warnmeldung listet Veeam drei Sicherheitslücken auf: CVE-2026-107239 („hoch“), CVE-2026-107238 („hoch“) und CVE-2023-22793 („kritisch“). Alle drei ermöglichen unter unterschiedlichen Voraussetzungen die Ausführung von Schadcode aus der Ferne.
Für einen Angriff über CVE-2026-107239 muss der Angreifer Mitglied der Gruppe „Veeam Virtualization Extensions Users“ sein. CVE-2026-107238 kann ein authentifizierter Domänennutzer ausnutzen, um Code mit LocalSystem-Rechten auf einem Server mit dem Collector-Dienst auszuführen. Die kritische Lücke CVE-2023-22793 betrifft dagegen den Dienst „Veeam Virtualization Extensions“: Für einen Angriff ist laut Veeam keine Anmeldung nötig.
Veeam hat die Lücken nach eigenen Angaben bei internen Tests entdeckt und nennt in der Warnmeldung keine Hinweise auf eine bereits erfolgte Ausnutzung. Admins betroffener Installationen sollten das Sicherheitsupdate dennoch zeitnah einplanen.
Ob Sicherheitslücken, Viren oder Trojaner – alle sicherheitsrelevanten Meldungen gibts bei heise security
Ausführliche Informationen zum Versandverfahren und zu Ihren
Widerrufsmöglichkeiten erhalten Sie in unserer
Datenschutzerklärung.
Immer informiert bleiben: Klicken Sie auf das Plus-Symbol an einem Thema, um diesem zu folgen. Wir zeigen Ihnen alle neuen Inhalte zu Ihren Themen.
Mehr erfahren.