近期，Veeam公司发布了一项重要安全更新，修复了其监控与报告工具Veeam ONE中的一个严重漏洞。这个漏洞编号为CVE-2026-65641，CVSSv4.0严重性评分高达9.3，意味着它对用户和企业的安全构成了重大威胁。
根据Veeam的披露，未经认证的网络攻击者可以强制运行Veeam ONE服务的账户发起SMB认证请求，这将导致该账户的认证凭据泄露。该漏洞影响Veeam ONE 13.1.0.7034及所有更早版本，但Veeam ONE 12.x版本则不受影响。为了解决这个问题，Veeam已经推出了两个修复版本：Veeam ONE 13.1 Patch 0（构建号13.1.0.7233）和Veeam ONE 13.0.2 Patch 1（构建号13.0.2.7159）。
漏洞的危害性尤为显著，尤其是在Windows企业环境中。攻击者一旦成功利用该漏洞，便可以捕获NTLM认证交互，并利用这些凭据实施NTLM中继攻击，进一步冒充账户身份，甚至还可能通过离线密码破解获取明文密码。更为严重的是，当Veeam ONE服务以高权限账户运行时，攻击者获取凭据后可能直接控制整个备份系统，为勒索软件攻击提供了便利。
尽管攻击者需要对受影响的Veeam ONE部署拥有网络访问权限，但他们并不需要有效的Veeam凭据。这意味着内部威胁者、恶意程序或已经在组织网络内建立立足点的对手都能直接利用这一漏洞发起攻击。为此，Veeam强烈建议用户立即更新受影响的Veeam ONE实例。
Veeam还指出，发布补丁后存在一个窗口期风险，攻击者可能会对修复补丁进行逆向工程，并快速开发利用工具针对尚未更新的组织。因此，管理员应清点所有Veeam ONE 13版本的部署，并确保它们升级至已修复的构建版本。
在进行更新的同时，各机构还应审查分配给Veeam ONE服务账户的权限，遵循最小权限原则，尽量避免使用高权限域账户。此外，限制管理系统与不可信网络段之间不必要的SMB流量（特别是出站445端口连接），监控出站SMB认证请求，并在可能的情况下强制启用SMB签名，都是降低风险的有效措施。持续监控涉及Veeam ONE服务账户的异常NTLM认证活动，有助于及时发现认证强制或中继攻击行为。
此次漏洞披露进一步凸显了备份与恢复基础设施面临的安全压力。备份系统存储着组织的数据恢复能力，一旦被攻陷，攻击者既可加密原始数据，又可摧毁恢复手段，因此，该领域始终是勒索软件运营商和其他威胁行为者的首要目标。为了保护组织的核心数据安全，用户必须高度重视并及时更新系统。返回搜狐，查看更多