Se ha revelado una vulnerabilidad de seguridad crítica en Veeam Backup & Replication, una de las soluciones de respaldo empresarial más utilizadas a nivel mundial. Identificada como CVE-2026-44963, este fallo permite que usuarios autenticados del dominio ejecuten código arbitrario de forma remota en los servidores de respaldo, lo que representa un riesgo grave para las organizaciones que dependen de Veeam para la protección y recuperación de sus datos.

Se ha revelado una vulnerabilidad de seguridad crítica en Veeam Backup & Replication, una de las soluciones de respaldo empresarial más desplegadas a nivel mundial.

Identificada como CVE-2026-44963, este fallo permite que los usuarios de dominio autenticados ejecuten código arbitrario de forma remota en los servidores de respaldo, lo que supone riesgos graves para las organizaciones que confían en Veeam para sus operaciones de protección y recuperación de datos.

La vulnerabilidad tiene una puntuación CVSS v4 de 9.4, lo que la sitúa firmemente en el nivel de severidad crítica. Descubierta y reportada por el investigador de seguridad Sina Kheirkhah (@SinSinology) de WatchTowr, la CVE-2026-44963 permite la ejecución remota de código (RCE) en el servidor de respaldo por cualquier usuario de dominio autenticado, un requisito de privilegios notablemente bajo que amplía drásticamente la superficie de ataque.

La vulnerabilidad de Veeam permite ataques de RCE

Fundamentalmente, esta vulnerabilidad solo afecta a los servidores de respaldo unidos a un dominio. Las organizaciones que ejecutan Veeam en una configuración de grupo de trabajo, en lugar de un entorno de dominio de Active Directory, no se ven afectadas por este fallo específico.

La propia guía de mejores prácticas de seguridad de Veeam ha recomendado durante mucho tiempo evaluar las configuraciones de grupo de trabajo frente a las de dominio, precisamente porque los despliegues unidos a un dominio amplían el grupo potencial de atacantes.

La vulnerabilidad afecta a las versiones de Veeam Backup & Replication desde la 12 hasta la 12.3.2.4465, y a todas las versiones anteriores de la 12. Esto abarca una amplia gama de despliegues en los siguientes lanzamientos principales:

• Veeam Backup & Replication 12
• Veeam Backup & Replication 12.1
• Veeam Backup & Replication 12.2
• Veeam Backup & Replication 12.3, 12.3.1 y 12.3.2 (antes de la compilación 4854)

Cabe destacar que la versión 13.x de Veeam Backup & Replication no se ve afectada debido a los cambios arquitectónicos introducidos en ese ciclo de lanzamiento. Las versiones del producto que ya no cuentan con soporte no fueron probadas formalmente, pero debes asumir que son vulnerables.

Veeam ha solucionado la vulnerabilidad en Veeam Backup & Replication 12.3.2.4854, lanzada el 9 de junio de 2026 y disponible a través de Veeam KB4696. Debes priorizar la actualización de inmediato.

Veeam advirtió explícitamente que, una vez que se divulga públicamente el parche de una vulnerabilidad, los actores de amenazas suelen realizar ingeniería inversa de la corrección para desarrollar exploits dirigidos a sistemas no parcheados.

Dada la puntuación crítica de CVSS y el nivel relativamente bajo de acceso de "usuario de dominio autenticado" necesario para activar el RCE, es muy probable que se produzcan intentos de explotación contra despliegues no parcheados a corto plazo.

• Actualiza a Veeam Backup & Replication 12.3.2.4854 inmediatamente
• Audita si los servidores de respaldo están unidos al dominio y evalúa la migración a una configuración de grupo de trabajo siguiendo las mejores prácticas de seguridad de Veeam
• Monitoriza cualquier movimiento lateral sospechoso o actividad de escalada de privilegios que se origine en la infraestructura de respaldo
• Revisa los controles de acceso de los usuarios de dominio en todas las instancias del servidor de respaldo de Veeam

Los servidores de respaldo son objetivos de alto valor para los operadores de ransomware, lo que convierte el parcheo rápido de la CVE-2026-44963 en una prioridad máxima de remediación para los equipos de seguridad empresarial.