Sauvegardes Veeam : l’avis du CERT-FR du 28 octobre appelle à vérifier plusieurs versions

Pourquoi l’avis du 28 octobre mérite une vérification

Le 28 octobre 2026, le CERT-FR a publié l’avis CERTFR-2026-AVI-1399 sur plusieurs vulnérabilités de produits Veeam. Les bulletins techniques de l’éditeur cités dans cet avis sont datés du 27 octobre. La publication de l’avis français et celle des correctifs sont donc deux faits distincts, espacés d’un jour. Les risques recensés incluent, selon le produit et la vulnérabilité, une exécution de code à distance, une élévation de privilèges, des atteintes aux données et un contournement de certaines protections.

Pour une petite entreprise, le sujet est important parce qu’un logiciel de sauvegarde peut accéder à des données ou à des systèmes essentiels à la reprise d’activité. Cela ne signifie pas qu’une sauvegarde a été volée ou détruite : les sources décrivent des failles et des correctifs, pas une campagne d’attaques contre les PME françaises. Le périmètre dépend du produit, de sa version et des conditions d’exploitation.

Les produits et seuils cités par le CERT-FR

L’avis concerne notamment Veeam Backup & Replication 13.0.x avant 13.0.3 (build 13.0.3.63) et 13.1.x avant 13.1.2 (build 13.1.2.57), Veeam Agent pour Linux avant 13.1.2 (build 13.1.2.11), Veeam ONE avant 13.1 Patch 1 (build 13.1.0.7940), ainsi que Veeam Backup pour Microsoft 365 avant 8.6 Patch 1 (build 8.6.0.5011). Ces versions correspondent aux seuils de l’avis ; le bulletin de chaque produit précise les vulnérabilités et les configurations réellement affectées.

Une nuance est essentielle pour Microsoft 365 : Veeam indique que certaines failles sont corrigées à partir de la version 8.6, mais que d’autres exigent 8.6 Patch 1. Conseiller simplement de passer à « 8.6 » serait donc insuffisant pour l’ensemble des problèmes couverts. De même, Veeam précise que certaines vulnérabilités de Backup & Replication ne concernent pas les branches plus anciennes comme 12.x ; il ne faut pas affirmer que toute version antérieure est automatiquement touchée par chaque CVE.

Ce qui change pour une TPE ou une PME

La première décision n’est pas de remplacer un produit ou de couper le service, mais d’établir si l’entreprise utilise Veeam. Le nom de la solution peut figurer dans le contrat de maintenance ou chez le prestataire informatique sans être connu du dirigeant. Une entreprise qui n’utilise pas ces logiciels n’est pas concernée directement par cet avis particulier.

Si le produit est présent, le prestataire doit comparer le numéro exact de version, les modules installés et les conditions d’exposition avec les bulletins officiels. Certaines failles supposent des privilèges ou une fonction précise. Par exemple, le bulletin KB4948 décrit une vulnérabilité de contournement d’autorisation sur le service CDP Coordinator, tandis que d’autres problèmes nécessitent un rôle de restauration authentifié. Le niveau de priorité dépend de l’exposition réelle et de la criticité des sauvegardes.

Une mise à jour qui préserve la capacité de restauration

• Demander au prestataire un inventaire daté des produits Veeam, de leurs versions et de leur exposition réseau ; conserver la réponse dans le suivi informatique.
• Vérifier les correctifs sur les bulletins de l’éditeur, notamment la distinction entre Veeam Backup pour Microsoft 365 8.6 et 8.6 Patch 1.
• Avant intervention, vérifier qu’une copie de sauvegarde indépendante et les informations de restauration sont disponibles ; préparer une procédure de retour arrière.
• Planifier la mise à jour avec une fenêtre de maintenance, puis contrôler les tâches de sauvegarde, les alertes et un test de restauration représentatif.
• Limiter les accès d’administration et l’exposition des consoles, sans improviser de changement de configuration susceptible de bloquer la reprise d’activité.

Ce que l’on ne peut pas conclure

L’avis du CERT-FR ne fournit pas une liste d’entreprises françaises compromises ni de preuve d’exploitation active pour chaque vulnérabilité. Les notes de Veeam décrivent des scénarios différents : certains nécessitent un compte administrateur, d’autres des conditions de réseau ou de configuration. Le score d’une faille n’est pas à lui seul une mesure du risque pour une installation donnée.

Il faut aussi distinguer un logiciel Veeam installé et administré par l’entreprise d’un service de sauvegarde géré par un prestataire : le client ne dispose pas toujours des mêmes leviers techniques. Dans ce dernier cas, la demande pertinente est une confirmation écrite de la version, du correctif appliqué et du dernier test de restauration, sans demander de secrets ni de détails d’accès.

À retenir

L’événement vérifié est l’avis français du 28 octobre, appuyé sur des bulletins éditeur du 27 octobre. Les entreprises concernées doivent privilégier une vérification ciblée et une mise à jour maîtrisée. Un correctif de sécurité n’est pleinement utile que si les sauvegardes restent exécutables et restaurables après son installation.