Índice
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-58073 |
| Fabricante | Veeam |
| Producto | Veeam Service Provider Console |
| Fecha de publicación | 2026-08-04 |
| Severidad | CRÍTICA |
| Puntuación CVSS v4 | 9.5 |
| Vector CVSS | CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X |
| Puntuación de prioridad (RyzerBot) | 222 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-58073 reside en Veeam Service Provider Console, una herramienta utilizada por proveedores de servicios para gestionar copias de seguridad de múltiples clientes. Permite a un atacante no autenticado suplantar la identidad de un agente gestionado y, de este modo, obtener las credenciales de dicho agente.
El fallo se clasifica como CWE-288: Authentication Bypass Using an Alternate Path or Channel, lo que significa que el atacante puede eludir la autenticación explotando una ruta o canal alternativo no previsto. La explotación requiere cierta complejidad (AC:H), pero no necesita privilegios previos ni interacción del usuario (PR:N, UI:N).
El impacto es muy alto en confidencialidad, integridad y disponibilidad tanto del sistema atacado como del entorno gestionado (VC:H/VI:H/VA:H/SC:H/SI:H/SA:H).
Productos y versiones vulnerables
Según la información publicada por CVE.org, el producto afectado es:
| Producto | Versión afectada | Versión segura |
|---|---|---|
| Veeam Service Provider Console | Todas las versiones anteriores a 9.3 | 9.3 o posterior |
No se han publicado otros productos o versiones afectados en las fuentes consultadas.
Impacto y riesgo
Un atacante que explote con éxito esta vulnerabilidad podría:
- Obtener las credenciales de un agente gestionado, lo que permitiría acceder a los sistemas de backup del cliente.
- Comprometer la confidencialidad, integridad y disponibilidad de los datos gestionados por la consola.
- Escalar el ataque a otros entornos si las credenciales robadas tienen privilegios elevados.
Dado que la consola es utilizada por proveedores de servicios, el riesgo se multiplica al poder afectar a múltiples clientes simultáneamente. La puntuación CVSS v4 de 9.5 refleja la gravedad del impacto.
Estado de explotación conocida
No publicado por las fuentes consultadas. No se dispone de información sobre si esta vulnerabilidad está siendo explotada activamente en entornos reales. La selección de esta CVE por RyzerBot se basa en su reciente publicación y su puntuación CVSS ≥ 9.0, no en evidencia de explotación activa.
Indicadores de compromiso (IOC)
No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse. Si se detectan comportamientos anómalos en la consola, se recomienda revisar los registros de autenticación y actividad de agentes.
Cómo comprobar si estás afectado
Para determinar si tu instalación de Veeam Service Provider Console es vulnerable:
- Accede a la consola de administración.
- Verifica la versión instalada. Si es anterior a 9.3, estás afectado.
- Consulta el aviso oficial de Veeam en KB4893 para obtener instrucciones detalladas.
No se han publicado comandos específicos de comprobación en las fuentes consultadas.
Mitigación y actualización
La acción recomendada por el fabricante es actualizar a la versión 9.3 o posterior de Veeam Service Provider Console. Sigue estos pasos:
- Descarga la actualización desde el portal oficial de Veeam.
- Aplica el parche siguiendo las instrucciones de KB4893.
- Verifica que la actualización se ha instalado correctamente.
No se han publicado mitigaciones alternativas en las fuentes consultadas.
Checklist para administradores
- ☐ Identificar la versión de Veeam Service Provider Console en uso.
- ☐ Confirmar si la versión es anterior a 9.3.
- ☐ Revisar el aviso oficial KB4893.
- ☐ Planificar la ventana de actualización.
- ☐ Aplicar la actualización a la versión 9.3 o superior.
- ☐ Verificar la correcta instalación del parche.
- ☐ Monitorizar los registros de autenticación y actividad de agentes.
- ☐ Notificar a los clientes afectados si eres proveedor de servicios.
Preguntas frecuentes
¿Qué es CVE-2026-58073?
Es una vulnerabilidad crítica en Veeam Service Provider Console que permite a un atacante no autenticado suplantar un agente gestionado y obtener sus credenciales.
¿Qué productos de Veeam están afectados?
Según las fuentes oficiales, solo Veeam Service Provider Console en versiones anteriores a 9.3.
¿Cuál es la puntuación CVSS?
CVSS v4 9.5, considerada crítica.
¿Hay evidencia de explotación activa?
No publicado por las fuentes consultadas. No se debe asumir explotación activa sin confirmación oficial.
¿Cómo puedo protegerme?
Actualizando a la versión 9.3 o posterior de Veeam Service Provider Console.
¿Dónde puedo encontrar más información?
En el aviso oficial de Veeam (KB4893) y en la entrada de NVD para CVE-2026-58073.