CVE-2026-106077：Veeam Backup for Microsoft 365 任意檔案讀取漏洞

A vulnerability allowing a user with the Veeam Backup for Microsoft 365 Administrator role to read arbitrary files on the backup server with LocalSystem privileges.

影響

受影響產品

The following products are affected by CVE-2026-106077 vulnerability. Even if cvefeed.io is aware of the exact versions of the products that are affected, the information is not represented in the table below.

尚未記錄受影響產品

The Common Vulnerability Scoring System is a standardized framework for assessing the severity of vulnerabilities in software and systems. We collect and displays CVSS scores from various sources for each CVE.

限制 Veeam Backup for Microsoft 365 Administrator 角色的存取，以防止任意檔案讀取。

• 套用 Veeam Backup for Microsoft 365 的供應商修補程式或更新。
• 限制 Veeam Backup Administrator 角色的許可權。
• 檢閱並限制檔案系統存取控制。
• 監控未授權的檔案存取嘗試。

此處提供一份精選的外部連結清單，包含針對 CVE-2026-106077 的深入資訊、實用解決方案與有價值工具。

雖然 CVE 會識別具體漏洞例項，但 CWE 將可能導致漏洞的共通缺陷或弱點分類。CVE-2026-106077 相關聯於以下 CWE：

Common Attack Pattern Enumeration and Classification（CAPEC）儲存攻擊模式，描述攻擊者利用 CVE-2026-106077 弱點所採用的共通特徵與方法。

我們掃描 GitHub 倉庫以偵測新的概念驗證（PoC）攻擊。以下清單為已在 GitHub 釋出的公開攻擊與概念驗證，按最近更新排序。

由於潛在效能問題，結果僅限前 15 個倉庫。

以下清單列出在文章中提及 CVE-2026-106077 漏洞的新聞。

以下表格列出 CVE-2026-106077 漏洞隨時間所作的變更。

漏洞歷史細節有助於瞭解漏洞的演變，並識別可能影響漏洞嚴重性、可利用性或其他特性的最新變更。

• 新 CVE 已接收 由 [email protected]

  十月. 27, 2026

  動作	型別	舊值	新值
  新增	說明		一個漏洞，允許擁有 Veeam Backup for Microsoft 365 Administrator 角色的使用者以 LocalSystem 許可權讀取備份伺服器上的任意檔案。
  新增	CVSS V4.0		AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:N/VA:N/SC:H/SI:H/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
  新增	CWE		CWE-863
  新增	受影響		New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/106xxx/CVE-2026-106077.json">CVE-2026-106077</a>
  新增	參考		https://www.veeam.com/kb4957

EPSS 是對於未來 30 天內可觀察到的利用活動機率的每日估計。 以下圖表顯示該漏洞的 EPSS 分數歷史。