Veeam 9 個漏洞牽動備份與 Microsoft 365 資料保護
iThome 報道指出，Veeam 在 10 月 27 日為 Backup & Replication、Backup for Microsoft 365 及 Veeam ONE 同步修補合共 9 個漏洞。當中兩項嚴重漏洞分別涉及繞過授權，以及可造成跨租戶存取和遠端執行程式碼的 SQL 注入風險。
這次更新的重點在於：受影響的並非單一備份 server，而是涵蓋企業備份、Microsoft 365 資料保護與監控管理平台。對同時使用多項 Veeam 產品的機構而言，修補工作應按可取得的權限、資料範圍和管理面影響排序，而不是只看 CVSS 分數。
三項需優先核對的漏洞
Backup & Replication：CVE-2026-108142
iThome 報道指，此漏洞位於連續資料保護（CDP）協調服務，CVSS v4.0 評分為 9.1，可讓攻擊者繞過授權。受影響版本為 13.0.x 與 13.1.x，對應已修補版本分別是 13.0.3 與 13.1.2。該產品今次另有 3 個漏洞一併修補。
Backup for Microsoft 365：CVE-2026-106076
此 SQL 注入漏洞的 CVSS v4.0 評分為 9.0。iThome 指出，漏洞可能造成跨租戶存取，並可能透過 PostgreSQL 帳戶執行遠端程式碼。使用 8.5 版的機構應升級至 8.6；同一產品共修補 4 個漏洞。對服務多個 Microsoft 365 租戶的託管服務商而言，跨租戶風險尤其值得優先處理，因為受影響範圍可能不止一個客戶環境。
Veeam ONE：CVE-2026-107671
Veeam ONE 13.1 存在一項 CVSS v4.0 評分 8.5 的高風險漏洞。iThome 報道稱，已持有管理員憑證的攻擊者可能繞過多因素驗證；修補版本為 13.1 P1。雖然漏洞利用的前提是已有管理員憑證，但監控及管理平台通常可見到大量備份工作和基建狀態，仍應納入短期修補安排。
修補次序應看資料邊界
若機構使用 Backup for Microsoft 365 8.5，應優先處理，原因是報道所述風險同時涉及租戶隔離及遠端程式碼執行。其次應處理有啟用或依賴 CDP 的 Backup & Replication 部署，確認目前屬於 13.0.x 還是 13.1.x，再升級至各自的修補版本。Veeam ONE 13.1 則應在檢視管理員帳戶、憑證保護及多因素驗證設定時一併更新至 13.1 P1。
實際執行前，IT 團隊可從產品管理介面、資產清單及維護紀錄核對完整版本和 patch level，並區分正式環境、災難復原環境與由外判或託管服務商管理的部署。完成升級後，亦應確認備份工作、還原流程及 Microsoft 365 連接設定仍可正常運作；備份系統一旦因更新出現中斷，反而會直接削弱復原能力。
iThome 的報道未有列出這些漏洞已被在野利用的個案，因此現階段不宜將事件描述為大規模攻擊。不過，備份平台掌握大量資料、帳戶權限及復原能力，修補延誤的後果往往會在事故發生時才浮現。下一步值得觀察的，是企業和託管服務商能否完成版本盤點，特別是辨識仍在運行 Backup for Microsoft 365 8.5、Backup & Replication 13.0.x／13.1.x，以及 Veeam ONE 13.1 的系統。
延伸閱讀
AI 輔助說明： 本文由 AI 協助整理，並經兩輪獨立自動品質審核；資料及連結仍以原始來源為準。
參考來源
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
