【 資安警訊 】- Veeam 一次修補三款產品共 9 個漏洞，備份與 Microsoft 365 備份產品含重大風險

 

發布編號：OIS-CTI-2026-10-004

情資來源：iThome

 

事件類型：漏洞警訊公告

 

內容說明：

 

備份與資料保護軟體廠商 Veeam 於 10 月 27 日同步修補 Backup & Replication、Backup for Microsoft 365 與 Veeam ONE 三款產品的資安漏洞，其中兩個重大漏洞可能導致繞過授權與遠端執行程式碼。

 

Veeam 於 10 月 27 日同步發布更新，涵蓋主力備份產品 Backup & Replication 13、Backup for Microsoft 365 8.5，以及監控管理平臺 Veeam ONE 13.1。三款產品合計修補 9 個漏洞，其中 Backup & Replication 與 Backup for Microsoft 365 各修補 4 個，Veeam ONE 修補 1 個。

 

在 Backup & Replication 方面，最嚴重的是 CVE-2026-108142，CVSS v4.0 評分達 9.1 分，屬連續資料保護（CDP）協調服務的繞過授權（bypass authorization）漏洞，影響 13.0.x 與 13.1.x 版。原廠要求用戶升級至已修補的 13.0.3 與 13.1.2 版。

 

在 Backup for Microsoft 365 方面，最嚴重的是 CVE-2026-106076，CVSS v4.0 評分為 9.0 分，屬可能導致跨租戶存取的 SQL 注入漏洞，攻擊者還可能透過 PostgreSQL 帳戶執行遠端程式碼，影響 8.5 版，應升級至已修補的 8.6 版。

 

在 Veeam ONE 方面，修補的是高風險漏洞 CVE-2026-107671，CVSS v4.0 評分為 8.5 分，擁有管理員憑證的攻擊者可能藉此繞過多因素驗證，影響 13.1 版，應升級至已修補的 13.1 P1 版。

 

 

影響平台：

 

受影響的產品包括 Veeam 旗下

 

●       Veeam Backup & Replication 13.0.x、13.1.x 版（CVE-2026-108142；修補版本為 13.0.3、13.1.2）

●       Veeam Backup for Microsoft 365 8.5 版（CVE-2026-106076；修補版本為 8.6）

●       Veeam ONE 13.1 版（CVE-2026-107671；修補版本為 13.1 P1）

         

建議措施：

 

請依產品別儘速升級：Backup & Replication 更新至 13.0.3 或 13.1.2 版，Backup for Microsoft 365 更新至 8.6 版，Veeam ONE 更新至 13.1 P1 版。其中 CVSS 評分達 9.0 以上的 CVE-2026-108142 與 CVE-2026-106076 應列為優先處理項目。本次更新同時修補其他較低嚴重度的漏洞，細節請參閱 Veeam 原廠公告；更新完成前，建議限制備份管理介面與相關服務僅開放給必要的管理來源。