- Son 7 gün
- CWE-89
CVE-2026-106076
Veeam Backup for Microsoft 365'de SQL enjeksiyonu ile uzaktan kod çalıştırma
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- hackerone
Yönetici özeti
Bu açık, yedekleme altyapınızın yönetim verilerini ele geçirilebilir hale getiriyor ve kuruluşlar arası güveni kötüye kullanmaya izin veriyor. Yedekleme sisteminin tamamen kontrol edilmesi, iş verilerinin ve kişisel bilgilerin sızmasına ya da değiştirilmesine yol açabileceği için acil müdahale gerektirir.
ÖzetTürkçe
Veeam Backup for Microsoft 365 ürününün 8.0 ile 8.5.0.1014 arasındaki sürümlerinde, kimliği doğrulanmış bir kuruluş aktarımı (organization transfer) eşi kaynak sunucunun yapılandırma veritabanına SQL kodu enjekte edebiliyor. Bu açık, yedekleme sunucusunu kullanan tüm kuruluşları etkiler. Açık, CWE-89 (SQL enjeksiyonu) sınıfındadır ve CVSS 4.0 skoru 9 (kritik) olarak derecelendirilmiştir.
Saldırgan ne yapabilir?
Saldırgan, kiracılar arası yapılandırma verilerini okuyup değiştirebilir ve PostgreSQL servis hesabının yetkisiyle sunucuda uzaktan kod çalıştırabilir.
Kaynaktaki açıklama (İngilizce)
A vulnerability allowing an authenticated organization-transfer peer to inject SQL into the configuration database of the source Veeam Backup for Microsoft 365 server, leading to cross-tenant read and write of configuration data and remote code execution as the PostgreSQL service account.
Ne yapmalı?
- Veeam'in resmi duyurularını kontrol edip açığı gideren sürümü veya yamayı belirleyin; veri içinde belirli bir düzeltilmiş sürüm bilgisi bulunmadığını unutmayın. Etkilenen sürümleri en kısa sürede güncelleyin. Genel öneri
- Güncelleme yapılana kadar kuruluş aktarımı özelliğini geçici olarak devre dışı bırakın veya yalnızca güvenilen kuruluşların aktarım yapmasına izin verin. Genel öneri
- Yedekleme sunucusundaki kullanıcı ve servis hesaplarını gözden geçirin, gereksiz yetkileri ve hesapları kaldırın. Genel öneri
- Veritabanı ve uygulama günlüklerini olağandışı sorgular, yetki değişiklikleri ve beklenmeyen aktarım işlemleri açısından inceleyin. Genel öneri
Ek önlemler
- Yedekleme sunucusuna erişimi ağ segmentasyonu ile sınırlandırın ve yönetim arayüzlerini yalnızca yetkili sistemlere açın. Genel öneri
- Yedekleme sunucusunun veritabanı hesaplarını en az yetki ilkesiyle yapılandırın ve veritabanı servisinin çalıştığı hesabın ayrıcalıklarını azaltın. Genel öneri
- Yedekleme yazılımı için güvenlik duyurularını düzenli takip edin ve güncellemeleri hızlıca uygulayacak bir süreç oluşturun. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Veeam Backup for Microsoft 365 | ≥ 8.0, ≤ 8.5.0.1014 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.