🚨 Alerta crítica: Se ha publicado la vulnerabilidad CVE-2026-64633 que afecta a Veeam ONE. Permite a un atacante remoto no autenticado ejecutar código arbitrario en el host del agente. La puntuación CVSS es 10, la máxima gravedad. Se recomienda aplicar la actualización proporcionada por Veeam de forma inmediata.
Índice
- Resumen ejecutivo
- Qué es la vulnerabilidad
- Productos y versiones vulnerables
- Impacto y riesgo
- Estado de explotación conocida
- Indicadores de compromiso (IOC)
- Cómo comprobar si estás afectado
- Mitigación y actualización
- Checklist para administradores
- Preguntas frecuentes
- Fuentes oficiales
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-64633 |
| Fabricante | Veeam |
| Producto | Veeam ONE |
| Fecha de publicación | 2026-08-04 |
| Severidad | CRÍTICA |
| CVSS | 10.0 (CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X) |
| Puntuación de prioridad | 240 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-64633 es un fallo de seguridad en Veeam ONE que permite a un atacante remoto no autenticado ejecutar código arbitrario en el host del agente. Según las fuentes consultadas (NVD y CVE.org), se trata de una vulnerabilidad de inyección de código clasificada como CWE-94 (Code Injection). El vector CVSS indica que el ataque puede realizarse desde la red sin necesidad de autenticación ni interacción del usuario, y el impacto en confidencialidad, integridad y disponibilidad es alto tanto para el sistema como para el entorno.
Esta vulnerabilidad fue publicada el 4 de agosto de 2026 y ha sido seleccionada por su criticidad, relevancia y puntuación RyzerBot. No se dispone de información sobre explotación activa en las fuentes oficiales.
Productos y versiones vulnerables
Según la información de CVE.org, el producto afectado es Veeam ONE. Las versiones afectadas son aquellas con versión menor o igual a 13.0.2. No se han publicado listas completas de versiones específicas en las fuentes consultadas.
| Producto | Versión afectada | Estado |
|---|---|---|
| Veeam ONE | ≤ 13.0.2 | Afectado |
Impacto y riesgo
El impacto potencial de esta vulnerabilidad es extremadamente alto. Un atacante remoto no autenticado podría tomar el control completo del sistema afectado, comprometiendo la confidencialidad, integridad y disponibilidad de los datos y servicios. Dado que Veeam ONE es una herramienta de gestión de backups y monitorización, un compromiso podría exponer información crítica de la infraestructura de TI y permitir movimientos laterales dentro de la red.
La puntuación CVSS de 10 refleja la máxima gravedad posible. La puntuación de prioridad RyzerBot de 240 indica una urgencia muy alta para su corrección.
Estado de explotación conocida
No se ha publicado información sobre explotación activa de esta vulnerabilidad en las fuentes consultadas (NVD, CVE.org, Veeam). La selección de esta CVE se basa en su publicación reciente y su puntuación CVSS 10, no en evidencia de explotación en curso. Se recomienda monitorizar los canales oficiales para cualquier actualización.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas. No deben inventarse. Si se detectan actividades sospechosas, se recomienda realizar un análisis forense y contactar con el equipo de seguridad.
Cómo comprobar si estás afectado
Para determinar si tu instalación de Veeam ONE es vulnerable, verifica la versión instalada. Según las fuentes, las versiones ≤ 13.0.2 están afectadas. Consulta la documentación oficial de Veeam para obtener instrucciones precisas sobre cómo identificar la versión. No se proporcionan comandos específicos en las fuentes consultadas.
Mitigación y actualización
La acción recomendada por las fuentes oficiales es revisar el aviso de seguridad de Veeam y aplicar la actualización o mitigación publicada. Veeam ha publicado un boletín de seguridad en su portal (KB4892). Se debe seguir el enlace oficial para obtener los parches o instrucciones de mitigación. No se dispone de más detalles en las fuentes consultadas.
Checklist para administradores
- ☐ Identificar todas las instancias de Veeam ONE en la organización.
- ☐ Verificar la versión instalada de cada instancia.
- ☐ Si la versión es ≤ 13.0.2, considerar la instalación como vulnerable.
- ☐ Acceder al boletín de seguridad de Veeam (KB4892) y descargar la actualización.
- ☐ Programar la aplicación del parche en una ventana de mantenimiento.
- ☐ Realizar pruebas de validación tras la actualización.
- ☐ Revisar logs y sistemas en busca de posibles indicios de compromiso.
- ☐ Mantener monitorización continua y actualizar los sistemas de seguridad.
Preguntas frecuentes
¿Qué es CVE-2026-64633?
Es una vulnerabilidad crítica en Veeam ONE que permite ejecución remota de código sin autenticación, con una puntuación CVSS de 10.
¿Qué versiones de Veeam ONE están afectadas?
Según las fuentes, las versiones ≤ 13.0.2 están afectadas.
¿Hay algún parche disponible?
Sí, Veeam ha publicado un boletín de seguridad (KB4892) con la actualización correspondiente.
¿Se está explotando activamente esta vulnerabilidad?
No hay información pública sobre explotación activa en las fuentes consultadas.
¿Qué debo hacer si no puedo aplicar el parche inmediatamente?
Consulta el aviso de Veeam para posibles mitigaciones temporales. Mientras tanto, limita el acceso a la red a los sistemas afectados.
¿Cómo puedo obtener más información?
Visita las fuentes oficiales listadas a continuación.