Veeam 備份軟體 9.4 分漏洞：只有「備份檢視者」權限的帳號，可利用它在備份伺服器上以 SYSTEM 執行程式碼，修補版 12.3.2 P4；KEV 目錄裡 4 個 Veeam 漏洞都標記為勒索軟體用過，第 12 版明年 2 月 28 日停止支援

趨勢新聞2026 年 10 月 13 日

備份軟體廠商 Veeam 2026 年 10 月 6 日發布知識庫文章 KB4934，修補 Veeam Backup & Replication 第 12 版的三個漏洞。最嚴重的 CVE-2025-64393，CVSS 4.0 評 9.4 分、等級重大：擁有「備份檢視者」（Backup Viewer）角色的低權限使用者，可以透過 Mount Service 對不受信任資料的不安全反序列化，在 Veeam 備份伺服器上遠端執行程式碼；CVE 紀錄寫明是以 SYSTEM 身分執行。受影響的是 12.3.2.4854（12.3.2 P3）與更早的所有第 12 版，修補版是 12.3.2 P4（build 12.3.2.4934），第 13 版不受這三個漏洞影響。新加坡網路安全局 10 月 9 日發出警示，呼籲立即更新。

同一篇 KB 另修兩個中風險漏洞：CVE-2026-93026 讓已登入的 Backup Viewer 能修改或刪除 Enterprise Manager 的主金鑰，並讀取或覆寫備份伺服器上儲存的防毒更新帳密（6.1 分）；CVE-2025-64392 是 Backup Enterprise Manager 的反射型跨站指令碼，已登入的入口網站使用者開啟特製連結時，瀏覽器會執行攻擊者的指令碼（4.8 分）。三個漏洞都經 HackerOne 回報。KB 也提醒，第 12 版在 2027 年 2 月 28 日停止支援，距今約四個半月。

本站建議：「檢視者」權限也要當成高風險

Backup Viewer 的名稱聽起來只能看，這個漏洞卻讓它可能成為取得備份伺服器高度控制權的起點。假設一家公司為了讓稽核或外包廠商查備份是否成功，開了一個 Backup Viewer 帳號（這是本站的假設情境，不是 KB 的例子）：如果這個帳號的密碼外洩，而伺服器還在受影響的版本，攻擊者就有機會利用這個漏洞，在備份伺服器上以 SYSTEM 身分執行程式碼。CVSS 4.0 向量裡的「後續系統影響」（SC、SI、SA）三項都標為高；本站的解讀是，評分者認為影響可能延伸到備份伺服器以外的系統。

CISA 在 CVE 紀錄上的評估（10 月 7 日）把利用狀態（Exploitation）標為「none」、可自動化（Automatable）標為「no」。換句話說，截至那次評估，沒有遭利用的公開證據，攻擊者也得先有一個 Backup Viewer 帳號。Veeam 在 KB 開頭的安全承諾段寫，漏洞與修補公開後，攻擊者很可能會嘗試逆向分析修補程式，去利用還沒更新的系統。

Veeam 漏洞在 KEV 的紀錄

美國網路安全暨基礎設施安全局（CISA）的「已知遭利用漏洞」（KEV）目錄，2026 年 10 月 8 日版有 4 個 Veeam Backup & Replication 漏洞：CVE-2022-26500 與 26501（2022 年 12 月列入）、CVE-2023-27532（2023 年 8 月）、CVE-2024-40711（2024 年 10 月 17 日）。4 筆的「已知用於勒索軟體攻擊」欄都是「Known」。其中 CVE-2024-40711 也是反序列化造成的遠端執行程式碼，Veeam 在 2024 年 9 月 4 日的 KB4649 公告修補，43 天後列入 KEV。

本站的讀法：過去 4 個進 KEV 的 Veeam 漏洞，勒索軟體欄全部是 Known，這次的 64393 目前沒有遭利用的證據，也需要先有帳號，條件比 40711 嚴。但 KEV 的紀錄顯示，被勒索軟體攻擊用過的 Veeam 漏洞不只一個；修補版已經出了，本站建議立即修補，不必等它進 KEV。另外，CVE 編號的年份是 2025，CVE 紀錄寫這個編號 2025 年 10 月 31 日保留、2026 年 10 月 7 日公開，中間約 11 個月；KB 沒有寫 Veeam 何時收到回報。