Vulnerabilidades en Veeam Management Pack para Microsoft System Center

Veeam ha publicado una nueva versión de Veeam Management Pack for Microsoft System Center que corrige 3 vulnerabilidades: 1 crítica y 2 altas, detectadas por el propio fabricante en sus pruebas internas.

Es la segunda alerta de Veeam en menos de una semana. El pasado 30 de octubre ya avisamos de 4 vulnerabilidades en Veeam Backup & Replication y Veeam Agent for Linux, una de ellas crítica. Si utilizas Veeam, conviene revisar ambos avisos juntos.

La vulnerabilidad más grave permite a un atacante sin cuenta ni contraseña ejecutar código a distancia en el servidor afectado. Por ahora no consta explotación activa, pero Veeam recuerda que, una vez publicado un parche, los atacantes suelen analizarlo para atacar las instalaciones que no se han actualizado.

¿A quién afecta?

Veeam Management Pack integra Veeam con Microsoft System Center Operations Manager (SCOM) para monitorizar la infraestructura virtual (VMware vSphere, Hyper-V) y los servidores de copias de seguridad. Lo utilizan sobre todo empresas medianas y grandes que gestionan sus sistemas con SCOM.

Productos afectados

• Veeam Management Pack for Microsoft System Center 9.1 y todas las compilaciones anteriores de la rama 9, incluidas las que tienen instalado el parche de compatibilidad con Veeam Backup & Replication 13.

Las versiones sin soporte no se han probado, pero Veeam indica que deben considerarse vulnerables.

Vulnerabilidades identificadas

• CVE-2023-22793 → Ejecución remota de código sin autenticación en el servicio Veeam Virtualization Extensions 🔴 Crítica (CVSS 9.3)
• CVE-2026-107239 → Ejecución remota de código en el servicio Collector por miembros del grupo Veeam Virtualization Extensions Users 🟠 Alta (CVSS 8.8)
• CVE-2026-107238 → Ejecución remota de código como LocalSystem en el servicio Collector por cualquier usuario del dominio 🟠 Alta (CVSS 8.7)

¿Qué podría hacer un atacante?

• CVE-2023-22793: sin credenciales, podría ejecutar instrucciones en los servidores que tengan el servicio Veeam Virtualization Extensions y tomar el control del equipo.
• CVE-2026-107238: basta con cualquier cuenta del dominio, por ejemplo la de un empleado cuyas credenciales hayan sido robadas con phishing, para ejecutar código con el máximo nivel de privilegios (LocalSystem) en el servidor del Collector.
• CVE-2026-107239: un usuario del grupo Veeam Virtualization Extensions Users podría ejecutar código en los servidores con el servicio Collector.

¿Por qué es importante?

Los servidores de monitorización tienen visibilidad y conexión con buena parte de la infraestructura: hipervisores, servidores y la plataforma de backup. Comprometerlos da al atacante un punto de apoyo ideal para moverse por la red y llegar hasta las copias de seguridad, el objetivo prioritario de los grupos de ransomware.

Solución

• Actualizar a Veeam Management Pack for Microsoft System Center 13.1 (build 13.1.0.334).
• Veeam no publicará corrección para la rama 9.x, por lo que es necesario migrar a la versión 13.1.

Recomendaciones del SOC de Infordisa

• Migrar a la versión 13.1 lo antes posible; seguir en la rama 9.x implica quedarse vulnerable de forma permanente.
• Si no puedes actualizar de inmediato, restringir el acceso de red a los servidores con los servicios Veeam Virtualization Extensions y Collector solo a los equipos de administración.
• Revisar los miembros del grupo Veeam Virtualization Extensions Users y dejar solo los imprescindibles.
• Aplicar el principio de mínimo privilegio en System Center y reforzar las cuentas de dominio con MFA.
• Comprobar también que Veeam Backup & Replication está actualizado según nuestra alerta anterior.
• Revisar los registros de los servidores afectados en busca de actividad inusual.

Si utilizas Veeam y necesitas ayuda para comprobar tu versión o planificar la migración, el equipo de Infordisa puede ayudarte.

Referencias:

• INCIBE-2026-824
• Veeam KB4961: Vulnerabilities Resolved in Veeam Management Pack for Microsoft System Center 13.1
• Veeam KB4949: Release Information for Veeam Management Pack for Microsoft System Center 13.1
• SOC Infordisa: Múltiples vulnerabilidades en productos de Veeam (30/10/2026)