CERT Polska w komunikacie z 11 czerwca opisał CVE-2026-44963: podatność pozwalającą użytkownikowi uwierzytelnionemu w domenie wykonać kod na serwerze kopii zapasowych. Komunikat wskazuje podatną linię Veeam Backup & Replication 12 oraz dostępną poprawkę. Dla osób odpowiedzialnych za ciągłość działania to powód, by połączyć kontrolę aktualizacji z oceną zaufania między domeną a systemem kopii.

Czy na pytanie o bezpieczeństwo odtwarzania wystarczy odpowiedzieć: „mamy serwer kopii”? Komunikat CERT Polska każe dopytać o warunki, w których ten serwer ma spełnić swoje zadanie. W opisanej podatności punktem wyjścia jest użytkownik uwierzytelniony w domenie, a miejscem wykonania kodu może być właśnie serwer kopii. Proponujemy więc zacząć rozmowę o ciągłości działania od zależności między domeną a serwerem kopii. Kto potwierdzi stan aktualizacji, kto oceni dostęp i kto sprawdzi założenia odtwarzania? To pytania do własnego zespołu, bez założenia, że doszło u niego do incydentu. Sam komunikat nie pozwala przecież ustalić konfiguracji firmowej instalacji ani sposobu, w jaki organizacja przygotowała się do przywrócenia pracy.

CVE-2026-44963 łączy uwierzytelnienie w domenie z serwerem kopii

Według CERT Polska możliwym skutkiem wykorzystania CVE-2026-44963 jest zdalne wykonanie kodu na serwerze kopii zapasowych. Wskazany warunek dotyczy uwierzytelnienia użytkownika w domenie. Przy ocenie ryzyka zachowajmy obie części opisu: skąd pochodzi użytkownik oraz którego systemu dotyczy możliwy skutek. Ochronę kopii proponujemy zatem rozpatrywać razem z zakresem zaufania do domeny.

Opis możliwości wykonania kodu nie przesądza, co stało się z kopiami w konkretnej organizacji. Źródło nie potwierdza aktywnego wykorzystania podatności. Nie ma więc podstaw, by przedstawiać komunikat jako relację z utraty danych albo udanego ataku na czyjś serwer. Dla odbiorcy odpowiedzialnego za kopie uzasadniony wniosek jest węższy. Sprawdźmy, czy ostrzeżenie obejmuje własną instalację i czy poprawka jest już wgrana.

W planie odtwarzania traktujmy zaufanie do domeny jako założenie wymagające sprawdzenia i ograniczenia do uzasadnionych potrzeb.

W przeglądzie dostępu do serwera kopii poprośmy o wskazanie zależności od domeny oraz uzasadnienie ich utrzymania. Każdą propozycję ograniczenia dostępu oceńmy także pod kątem zaplanowanego odtwarzania. Komunikat o CVE-2026-44963 nie zastępuje takiej oceny własnej konfiguracji.

Dostępna poprawka wymaga potwierdzenia we własnej instalacji

CERT Polska wskazuje podatną linię Veeam Backup & Replication 12 i informuje o dostępnej poprawce. Z tego faktu nie wynika stan aktualizacji w żadnej konkretnej firmie. W rozmowie z administratorem poprośmy więc o potwierdzenie używanej wersji i jej porównanie z komunikatem, a następnie o ustalenie, czy potrzebne jest wdrożenie poprawki. Odpowiedź powinna odnosić się do instalacji obsługującej firmowe kopie.

Tutaj proponujemy zestawić procedurę aktualizacji z dowodem jej wykonania. Jeśli dokument przewiduje aktualizowanie serwera kopii, sprawdźmy zapis dotyczący tej podatności: ustalony stan, odpowiedzialną osobę i ewentualne zadanie do zamknięcia. Gdy potwierdzenia brakuje, oznaczmy stan jako niewyjaśniony. Sam brak zapisu nie dowodzi zaniedbania administratora, ale pozostawia pytanie, na które właściciel procesu powinien uzyskać odpowiedź.

Podobnie potraktujmy przegląd dostępu z domeny. Zamiast zakładać, że wcześniejsze zatwierdzenie pozostaje wystarczające, poprośmy o ponowną ocenę jego zasadności po komunikacie o CVE-2026-44963. Wynikiem powinny być decyzje o potrzebnym dostępie i zadania dotyczące zależności wymagających zmiany, z osobą odpowiedzialną za ich przygotowanie.

Odpowiedzialność za kopie obejmuje założenia odtwarzania

Dla zarządu proponujemy połączyć odpowiedź na komunikat CERT Polska z przeglądem planu odtwarzania. Aktualizacja serwera, ocena dostępu i sprawdzenie planu powinny mieć wskazanych wykonawców oraz osobę zbierającą wyniki. Dzięki temu odpowiedzialny za ciągłość działania będzie mógł zażądać konkretnego potwierdzenia w każdym obszarze, zamiast poprzestać na ogólnej deklaracji, że zespół zajął się kopiami.

Przy przeglądzie planu dla Veeam Backup & Replication postawmy pytanie warunkowe: jak zespół zamierza odtwarzać systemy, jeśli nie może ufać domenie albo serwerowi kopii? Potraktujmy je jako proponowany scenariusz do omówienia. Źródło nie opisuje przebiegu takiego zdarzenia. W planie poszukajmy zależności od domeny i wskażmy, które trzeba zweryfikować, zanim uznamy przyjęty sposób odtwarzania za gotowy do użycia.

Odpowiedzialność za kopie powinna obejmować wskazanie, na jakich założeniach o dostępie i zaufaniu opiera się odtwarzanie.

Koszt prac i czas potrzebny na sprawdzenie planu organizacja ustala sama. Komunikat o CVE-2026-44963 nie daje podstaw do wyliczenia strat ani długości przerwy. Osobę odpowiedzialną za kopie poprośmy o określenie zakresu weryfikacji i przedstawienie go do decyzji wraz z nierozstrzygniętymi zależnościami.

Komunikat CERT Polska wyznacza zakres lokalnej weryfikacji

Polskim punktem odniesienia jest komunikat CERT Polska z 11 czerwca. W firmie korzystającej z Veeam Backup & Replication proponujemy przekazać go osobom odpowiedzialnym za serwer kopii, domenę i ciągłość działania. Każda z tych ról powinna odnieść informację o podatności do swojego zakresu pracy: aktualizacji, dostępu albo założeń odtwarzania. Osoba zbierająca wyniki zestawia te ustalenia razem, aby każda z ról mogła sprawdzić, od czego zależą jej zadania.

W informacji dla kierownictwa oddzielmy ustalenia CERT Polska od wyników własnej kontroli. Pierwsze opisują podatność i dostępność poprawki; drugie powinny odpowiedzieć, co ustalono o firmowym serwerze kopii. Jeżeli wersji lub stanu aktualizacji jeszcze nie potwierdzono, zapiszmy tę niewiadomą wraz z odpowiedzialnością za jej wyjaśnienie. Brak potwierdzenia aktywnego wykorzystania w źródle nie rozstrzyga stanu firmowej instalacji. Decyzję o dalszych pracach oprzyjmy na jej sprawdzeniu i zakresie ostrzeżenia.

Co z tym zrobić w poniedziałek

  1. Ustal stan aktualizacji. Przeznacz 30 minut na sprawdzenie dostępnego zapisu wersji Veeam Backup & Replication i porównanie go z komunikatem CERT Polska. Zapisz wynik albo zadanie wyjaśnienia braków, osobę odpowiedzialną i termin odpowiedzi. Wdrożenie poprawki zaplanuj osobno.
  2. Rozpocznij ocenę zaufania do domeny. W ciągu 30 minut przejrzyj dostępną dokumentację dostępu do serwera kopii. Wypisz opisane zależności od domeny oraz brakujące uzasadnienia; przypisz osobę do ich sprawdzenia pod kątem CVE-2026-44963.
  3. Sprawdź założenia odtwarzania. Poświęć 30 minut na odnalezienie w planie zależności od domeny i serwera kopii. Zapisz pytania wymagające rozstrzygnięcia oraz właściciela dalszej weryfikacji. Próbę odtwarzania potraktuj jako osobne zadanie wymagające przygotowania.

Po komunikacie o CVE-2026-44963 wymagajmy, aby plan odtwarzania uzasadniał zakres zaufania do domeny. Dla serwera kopii dostępna poprawka powinna rozpocząć konkretną kontrolę stanu, a przegląd zależności powinien prowadzić do decyzji o ograniczeniu zbędnego zaufania. Odpowiedzialny za ciągłość działania powinien wiedzieć, kto te decyzje wykona i jak potwierdzi ich zgodność z planem odtwarzania.

Źródła

Redakcja cyberinsight.pl.