Veeam 在 2026 年 10 月 6 日发布安全更新 KB4934，修复 Backup & Replication 12 中编号 CVE-2025-64393 的严重漏洞（CVSS 4.0 9.4）。令人警惕的是，触发它只需要一个被官方文档描述为”只读”的 Backup Viewer 角色——拥有该角色的低权限用户就能在备份服务器上以 SYSTEM 权限执行任意代码。备份基础设施向来是勒索软件的关键跳板，值得最高优先级处置。
事件概述
Veeam 于 10 月 6 日发布 12.3.2 P4（build 12.3.2.4934），一次修复四个问题：
- CVE-2025-64393（CVSS 4.0 9.4）：Backup Viewer 角色可在备份服务器上远程执行代码；
- CVE-2026-93026：同为 Backup Viewer 越权，可触及 Enterprise Manager 主密钥与存储的杀毒更新凭证；
- CVE-2025-64392：Enterprise Manager 反射型 XSS；
- CVE-2026-58069：已认证的 Cloud Connect 租户可读取服务商主机上的任意文件。
其中 CVE-2026-58069 的修复更早进入 13 版本：build 13.1.0.411（7 月 29 日）与 13.0.3.63（8 月 25 日），比 12 分支分别提前 69 天与 42 天。
技术细节
该漏洞的本质是不安全反序列化。CVSS 向量显示攻击经由网络、只需要低权限、无需用户交互。Veeam 的用户手册把 Backup Viewer 描述为”对 Veeam Backup & Replication 控制台的只读访问”，可以查看”现有作业列表”与”作业会话详情”——也就是说，一个按官方定义只应”看”的角色，就足以在存放全部备份的服务器上执行代码。
Veeam 公告明确写的是”在 Veeam Backup Server 上实现远程代码执行”，未点名具体账户；CVE 记录则以”以 SYSTEM 身份”描述影响。公告没有说明账号如何获得该角色、服务器是否必须加入域、以及 Backup Viewer 需要能访问到什么程度，官方也未列出任何绕过方案。现实中的两道关键控制是：谁持有 Backup Viewer，以及哪些网络位置能触达备份服务器的管理服务。
影响评估
受影响的是 Backup & Replication 12 全系，直到 build 12.3.2.4854；13 版本不受影响。备份基础设施里通常存放加密密钥、恢复数据以及整个环境的访问凭证，一旦被拿下，攻击者往往可以顺带删除或加密备份副本，令勒索恢复彻底落空。
需要说明的是：Veeam 未报告在野利用，CISA 的 KEV 目录截至 2026-10-08 也未收录该漏洞，CVE 记录中的利用状态标注为”无”。因此紧迫性来自角色权限设计缺陷与备份产品的高价值定位，而不是已确认的活跃攻击。
修复建议
- 立即把 Backup & Replication 12 升级到 build 12.3.2.4934 或更高（对应 12.3.2 P4）；
- 把 Backup Viewer 角色视为高权限，严格审计持有者，非必要不授予；
- 限制能访问备份服务器管理服务（含 Enterprise Manager）的网络范围，禁止直接公网暴露；
- 若曾把 Backup Viewer 授予不应持有的账号，升级后轮换 Enterprise Manager 主密钥与其中存储的凭证；
- 检查备份目录与作业日志，确认没有异常脚本执行、计划任务或新增账号。