สรุปสั้น

Veeam Backup & Replication คือ ซอฟต์แวร์สำรองข้อมูลที่องค์กรจำนวนมากใช้ และเป็นเป้าหมายประจำของกลุ่มแรนซัมแวร์ เพราะการทำลายแบ็กอัปทำให้เหยื่อกู้ระบบเองไม่ได้ ล่าสุด SafePay ก็ใช้ Veeam เป็นหนึ่งในทางเข้าตามคำเตือนร่วมของ CISA ใน 2026/10/209 เมื่อวันที่ 27 ตุลาคม 2026 บริษัท Veeam ออกประกาศ KB4948 แก้ช่องโหว่ CVE-2026-108142 คะแนน CVSS v4.0 9.1 ที่ทำให้ผู้โจมตีซึ่งไม่ได้ล็อกอินข้ามการตรวจสิทธิ์บน CDP Coordinator Service ได้ ช่องโหว่กระทบ Backup & Replication สาย 13.1 และ 13.0 ทั้งบน Windows และ Veeam Software Appliance ส่วนสาย 12.x ไม่กระทบ

ประกาศเดียวกันยังแก้ช่องโหว่อีก 3 ตัว ได้แก่ ช่องโหว่เขียนไฟล์ข้ามโฟลเดอร์ 2 ตัวใน Backup & Replication ที่ต้องมีบทบาท Restore Operator และช่องโหว่ยกระดับสิทธิ์ในเครื่องใน Veeam Agent for Linux ยังไม่มีรายงานการโจมตีจริง และ Veeam ไม่ได้ระบุว่าช่องโหว่หลักนำไปสู่การรันโค้ด แต่ผู้ดูแลควรอัปเดตเป็น build 13.1.2.57 หรือ 13.0.3.63 โดยเร็ว เพราะผู้โจมตีมักแกะแพตช์เพื่อหาทางเจาะเครื่องที่ยังไม่อัปเดต

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 28 ตุลาคม 2569 ว่า Veeam ออกแพตช์แก้ช่องโหว่ข้ามการตรวจสิทธิ์ระดับวิกฤตใน Backup & Replication ตามประกาศ KB4948 ที่เผยแพร่เมื่อวันที่ 27 ตุลาคม 2026 ช่องโหว่ทั้ง 4 ตัวในประกาศนี้รายงานผ่านแพลตฟอร์ม HackerOne

CVE-2026-108142 กระทบ Backup & Replication 13.1.1.18 และ build ก่อนหน้าในสาย 13.1 และ 13.0.2.29 และ build ก่อนหน้าในสาย 13.0 ส่วนเวอร์ชัน 12.x ไม่กระทบ เวอร์ชันแรกที่แก้แล้ว คือ 13.1.2 build 13.1.2.57 และ 13.0.3 build 13.0.3.63 ผู้ดูแลจึงต้องเทียบหมายเลข build ไม่ใช่ดูแค่เลขเวอร์ชันหลัก

ข้อจำกัดของข้อมูลมี 2 ข้อ ข้อแรก ประกาศไม่ได้อธิบายขั้นตอนการโจมตี และไม่ได้ระบุว่าช่องโหว่นี้นำไปสู่การรันโค้ดจากระยะไกล ข้อสอง ยังไม่มีรายงานการโจมตีจริง Cyber Security News เคยรายงานว่าผู้โจมตีใช้ช่องโหว่เก่า CVE-2024-40711 ใน Veeam ปล่อยแรนซัมแวร์ Frag แต่เป็นคนละช่องโหว่ และไม่ได้ยืนยันว่าช่องโหว่ใหม่ถูกใช้โจมตีแล้ว

รายละเอียดช่องโหว่

CVE-2026-108142: ข้ามการตรวจสิทธิ์โดยไม่ต้องล็อกอิน (CVSS v4.0 9.1) — ช่องโหว่อยู่ในการตรวจสิทธิ์ ซึ่งเป็นด่านที่ตัดสินว่าผู้เรียกใช้ทำอะไรได้บ้าง บน CDP Coordinator Service บริการที่ประสานงานการสำรองข้อมูลแบบต่อเนื่อง (Continuous Data Protection) ผู้โจมตีที่ไม่ได้ล็อกอินข้ามด่านนี้ได้ กระทบทั้งการติดตั้งบน Windows และ Veeam Software Appliance

CVE-2026-108140 และ CVE-2026-108141: เขียนไฟล์ข้ามโฟลเดอร์ (CVSS v4.0 5.9 ทั้งคู่) — ทั้งสองตัวเป็น relative path traversal คือ เส้นทางไฟล์หลุดออกจากโฟลเดอร์ที่กำหนดไว้ ทำให้เขียนไฟล์ที่ผู้โจมตีควบคุมไปไว้ที่ใดก็ได้บนเซิร์ฟเวอร์แบ็กอัป แต่มีเงื่อนไข 2 ข้อ ต้องล็อกอินด้วยบทบาท Restore Operator และต้องควบคุมเนื้อหาใน NAS share ที่ถูกสำรองข้อมูลอยู่ เวอร์ชันที่กระทบและเวอร์ชันที่แก้ตรงกับ CVE-2026-108142

CVE-2026-105477: ยกระดับสิทธิ์ใน Veeam Agent for Linux (CVSS 7.3) — กระทบเฉพาะ Veeam Agent for Linux ที่ Backup & Replication บริหารจัดการ เวอร์ชัน 13.1.1.4 และก่อนหน้าในสาย 13.1 แก้แล้วในเวอร์ชัน 13.1.2 build 13.1.2.11 ผู้โจมตีต้องเข้าถึงเครื่อง Linux นั้นได้ก่อน

ผลกระทบ

กลุ่มที่เสี่ยงโดยตรง คือ องค์กรที่อัปเกรด Backup & Replication เป็นสาย 13 แล้ว ทั้งบน Windows และ Veeam Software Appliance ส่วนองค์กรที่ยังใช้สาย 12.x ไม่กระทบจากช่องโหว่หลัก แต่ยังต้องติดตามแพตช์ของสายตัวเองแยกต่างหาก

ความหมายของช่องโหว่นี้อยู่ที่ตำแหน่งของระบบ เซิร์ฟเวอร์แบ็กอัปเป็นด่านสุดท้ายที่องค์กรใช้กู้ระบบหลังถูกแรนซัมแวร์ ช่องโหว่ที่ข้ามการตรวจสิทธิ์โดยไม่ต้องล็อกอินจึงอาจเปิดทางให้ผู้โจมตีแทรกแซงงานสำรองข้อมูลได้ แม้ Veeam จะยังไม่ระบุว่าทำอะไรได้บ้าง ประวัติที่กลุ่มแรนซัมแวร์ใช้ช่องโหว่ Veeam ภายในไม่กี่สัปดาห์หลังแพตช์ออก ทำให้ช่องโหว่นี้ควรอยู่ในคิวแพตช์เร่งด่วน

คำแนะนำ

  • อัปเดตทันที — Backup & Replication สาย 13.1 อัปเดตเป็น 13.1.2 build 13.1.2.57 สาย 13.0 อัปเดตเป็น 13.0.3 build 13.0.3.63 และ Veeam Agent for Linux อัปเดตเป็น 13.1.2 build 13.1.2.11
  • เช็กหมายเลข build จริง — ดูที่เมนู Help > About ในคอนโซล เพราะเลขเวอร์ชันหลักอย่างเดียวบอกไม่ได้ว่าแพตช์แล้วหรือยัง
  • จำกัดการเข้าถึงเซิร์ฟเวอร์แบ็กอัป — แยกเซิร์ฟเวอร์ Backup & Replication ไว้ในเครือข่ายจัดการ และอนุญาตให้เข้าถึงพอร์ตบริการเฉพาะจากเครื่องที่จำเป็น เพื่อลดโอกาสที่ผู้ไม่ได้ล็อกอินจะเข้าถึง CDP Coordinator Service
  • ทบทวนบทบาท Restore Operator — ให้บทบาทนี้เฉพาะบัญชีที่จำเป็น และตรวจว่าใครควบคุมเนื้อหาใน NAS share ที่ถูกสำรองได้บ้าง
  • ตรวจร่องรอย — ไล่ล็อกของ Backup & Replication หาการเรียกใช้ CDP Coordinator Service จากแหล่งที่ไม่คุ้นเคย และงานสำรองหรือการตั้งค่าที่ถูกแก้โดยไม่มีผู้รับผิดชอบ
  • ระยะยาว — เก็บแบ็กอัปอย่างน้อย 1 ชุดแบบ immutable หรือแยกออฟไลน์ เพื่อให้กู้ระบบได้แม้เซิร์ฟเวอร์แบ็กอัปถูกเจาะ

แหล่งอ้างอิง