CVE-2026-21708 : injection SQL PostgreSQL et exécution de code à distance via le rôle backup viewer dans Veeam Backup & Replication

HERMES

HERMES THREAT SCORE ET RISQUE D'ENTREPRISE

Cible : Moteur de base de données PostgreSQL et points d'agrégation de reporting Veeam

Confiance : 99%

99 / 100

CRITIQUE

Mesure la pertinence opérationnelle réelle, la militarisation de l'exploit et la posture de menace active.

Décomposition des dimensions

Exploitabilité 20 / 20

Activité de menace 19 / 20

Militarisation 20 / 20

Exposition 19 / 20

Prévalence 19 / 20

Impact 20 / 20

Maturité de l'exploit 20 / 20

Potentiel d'attaque en chaîne 20 / 20

⚖️ Divergence & Justification opérationnelle

Le score Hermes évalue la CVE-2026-21708 à 99 (CRITIQUE). La couche applicative et les API se connectant à PostgreSQL avec les privilèges du superutilisateur postgres, une injection SQL exploitable par le rôle en lecture seule Backup Viewer brise instantanément le bac à sable de la base de données pour exécuter des commandes sur le système hôte, permettant la prise de contrôle intégrale du plan de reprise.

🕸️ Graphe de connaissances connecté & Provenance

CVE-2026-21708: Veeam Backup & Replication PostgreSQL SQL Injection to RCEVULNÉRABILITÉ

Nœuds connectés : 1

Relations sortantes actives

→ affectsCOMPOSANTVeeam Backup & Replication

98% VERY_HIGH

Software platform affected by security vulnerabilities and agentic attack patterns.

🔍 Pourquoi cette relation ? (Preuves & Provenance)

“Confirmed security vulnerability in Veeam Backup & Replication documented in Hermes dossier.”

Preuves vérifiées associées :

• [vulnerability_report]
• [government_confirmation]CISA verified active exploitation in the wild and mandated federal remediation deadline in KEV entry. — Source : Cybersecurity & Infrastructure Security Agency (CISA): CISA Adds CVE-2026-59822 to Known Exploited Vulnerabilities Catalog (Fiabilité : VERY_HIGH)

Encart de désambiguïsation : CVE-2026-21708 vs CVE-2021-21708

Précision importante : les analystes et certains scanneurs de vulnérabilités confondent parfois la CVE-2026-21708 avec la CVE-2021-21708.

• La CVE-2021-21708 est une faille historique de corruption mémoire (use-after-free) affectant le runtime PHP (php_filter_float()), sans aucun rapport avec les logiciels Veeam.
• La CVE-2026-21708 est la vulnérabilité critique divulguée dans les bulletins de sécurité du 12 mars 2026 (KB4830 / KB4831) ciblant Veeam Backup & Replication. Ce dossier traite exhaustivement de la faille affectant Veeam.

Sévérité critique : du rôle de consultation passive vers l'exécution de commandes système

CVSS v3.1 : 9.9 critique : (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H) / CVSS v4.0 : 9.4 Critique (CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H) / CWE-89 : neutralisation incorrecte des éléments spéciaux dans une commande SQL (‘Injection SQL’).
La CVE-2026-21708 affecte Veeam Backup & Replication versions 12.0.0.1402 à 12.3.2.4465 (exclue) et versions 13.x antérieures à 13.0.1.2067. Un utilisateur authentifié disposant du rôle minimal en lecture seule Backup Viewer peut injecter des requêtes SQL arbitraires et s’échapper du contexte de base de données pour exécuter des commandes système en tant que l’utilisateur postgres. Corrigée dans les avis KB4830 et KB4831.

Synthèse exécutive

Publiée le 12 mars 2026, la CVE-2026-21708 constitue la vulnérabilité la plus destructrice du bulletin de sécurité Veeam KB4830 / KB4831.

Depuis VBR v12, Veeam a adopté PostgreSQL comme moteur de base de données par défaut. Sur certains points de terminaison de reporting et d’inventaire, des paramètres de filtrage transmis par les utilisateurs étaient concaténés directement dans des requêtes SQL dynamiques sans paramétrisation préparée. La connexion applicative à la base s’effectuant avec le compte superutilisateur postgres, un assaillant muni d’identifiants Backup Viewer peut injecter des commandes SQL administratives, invoquer les fonctionnalités d’exécution du moteur (COPY ... FROM PROGRAM) et s’échapper du serveur SQL pour lancer des commandes système sur le serveur hôte.

---

1. Métadonnées et surface affectée

Paramètre	Spécification technique	Impact opérationnel
Identifiant CVE	CVE-2026-21708	Identifiant mondial de suivi
Avis éditeur	Veeam KB4830 (v12) & KB4831 (v13)	Bulletins de sécurité cumulatifs
Versions affectées	VBR 12.x (12.0.0.1402 à < 12.3.2.4465) & 13.x (< 13.0.1.2067)	Déploiements avec PostgreSQL
Versions corrigées	VBR Build 12.3.2.4465 & 13.0.1.2067	Correctif cumulatif d’urgence
Composant vulnérable	Gestionnaire de requêtes de reporting	Concaténation de requêtes dynamiques
Rôle minimal requis	Backup Viewer	Rôle le plus faible du modèle RBAC Veeam
Compte de connexion BDD	Superutilisateur PostgreSQL (postgres)	Privilèges SQL non restreints
Impact	RCE et évasion de bac à sable de la BDD	Prise de contrôle absolue de l’hôte

---

2. Cause racine et évasion de bac à sable de la base de données

La CVE-2026-21708 résulte d’une absence de neutralisation des entrées utilisateur dans la construction de requêtes SQL dynamiques (CWE-89), aggravée par un niveau d’autorisation excessif du compte de connexion à PostgreSQL.

Cinématique d'exploitation de la CVE-2026-21708 :

 [Opérateur authentifié (Rôle Backup Viewer)]
        │
        │ 1. Transmission d'un paramètre forgé via l'API REST / UI :
        │    param = "'; COPY (SELECT '') TO PROGRAM 'cmd.exe /c ...'-- "
        ▼
 [Moteur de requêtes Veeam]
        │
        │ 2. Concaténation directe de la chaîne dans l'ordre SQL dynamique
        ▼
 [Serveur PostgreSQL (Port TCP 5432)]
        │
        │ 3. Exécution sous le compte superutilisateur 'postgres'
        ▼
 [Évasion du bac à sable de la BDD (CWE-89)]
        │
        │ 4. PostgreSQL lance un sous-processus shell via 'COPY ... FROM PROGRAM'
        ▼
 [Exécution de commandes sur le système hôte]
        └── Exécution de la charge utile avec privilèges postgres / LocalSystem

Le vecteur d’élévation par superutilisateur

Dans le modèle d’exploitation standard, un utilisateur auquel est affecté le rôle Backup Viewer est restreint à la consultation des statistiques de travaux, de l’espace de stockage et de l’historique d’exécution, sans pouvoir altérer l’infrastructure.

Cependant, comme le service applicatif interroge la base de données via un pool de connexions unique authentifié en tant que postgres, toute vulnérabilité d’injection SQL court-circuite intégralement le modèle de rôles RBAC applicatif. En refermant la requête légitime, l’attaquant injecte :

'; CREATE TABLE cmd_exec(output text);
COPY cmd_exec FROM PROGRAM 'powershell -enc <Charge_Base64>';--

Le service PostgreSQL disposant des capacités d’interaction avec le système d’exploitation, l’instruction COPY ... FROM PROGRAM engendre directement des processus enfants sous le compte de service de la base de données.

---

3. Chaîne d’attaque et exploitation par les rançongiciels

Dans les opérations cybercriminelles, la CVE-2026-21708 abaisse drastiquement la barrière d’accès des attaquants :

1. Exploitation de comptes à faible surveillance : les assaillants n’ont plus besoin de cibler les comptes administrateurs hautement surveillés. Un compte d’audit, de helpdesk ou de supervision tiers doté des droits Backup Viewer suffit.
2. Prise de contrôle instantanée : l’envoi d’une unique requête HTTP POST permet d’obtenir un shell interactif sur le serveur de sauvegarde en quelques secondes.
3. Destruction du plan de sauvegarde : depuis le shell hôte, l’attaquant extrait les clés DPAPI, siphonne les identifiants administrateurs Active Directory et déclenche les commandes d’effacement des dépôts de sauvegarde.

---

4. Ingénierie de détection

Sigma (PostgreSQL engendrant un shell)

title: Service PostgreSQL engendrant un interpréteur de commandes
id: 7c12f498-8b21-4f12-9912-cve-2026-21708-pgescape-fr
status: production
description: Détecte le lancement d'interpréteurs de commandes engendrés directement par postgres.exe, révélateur d'une évasion par injection SQL liée à la CVE-2026-21708.
references:
  - https://www.veeam.com/kb4830
  - https://www.veeam.com/kb4831
author: Hermes Codex DFIR Lab
date: 2026-09-09
logsource:
  category: process_creation
  product: windows
detection:
  selection_parent:
    ParentImage|endswith: '\postgres.exe'
  selection_child:
    Image|endswith:
      - '\cmd.exe'
      - '\powershell.exe'
      - '\pwsh.exe'
      - '\whoami.exe'
      - '\net.exe'
      - '\certutil.exe'
  condition: selection_parent and selection_child
level: critical
tags:
  - attack.execution
  - attack.t1059
  - attack.initial_access
  - attack.t1190
  - cve.2026-21708

KQL (Sentinel détection COPY program)

// Microsoft Sentinel KQL : détection de tentatives d'injection SQL COPY FROM PROGRAM dans les journaux PostgreSQL
Syslog
| where ProcessName == "postgres" or Facility == "local0"
| where SyslogMessage has_any ("COPY", "FROM PROGRAM", "TO PROGRAM")
| summarize
    IncidentCount = count(),
    StartTime = min(TimeGenerated),
    EndTime = max(TimeGenerated),
    SampleQuery = take_any(SyslogMessage)
    by HostName, ProcessName
| where IncidentCount > 0

Suricata (signature d'injection SQL)

# Règle Suricata : détection d'injection SQL COPY PROGRAM dirigée vers l'API ou le portail web Veeam
alert http $EXTERNAL_NET any -> $VEEAM_SERVERS any ( \
    msg:"HERMES DEFENSE - Tentative d'injection SQL PostgreSQL COPY PROGRAM Veeam CVE-2026-21708"; \
    flow:to_server,established; \
    content:"COPY"; nocase; http_uri; \
    content:"PROGRAM"; nocase; distance:0; http_uri; \
    classtype:web-application-attack; \
    sid:102621708; rev:1; \
    metadata:cve CVE-2026-21708, confidence high;)

---

5. Durcissement défensif et remédiation

1. Installer sans délai les correctifs KB4830 / KB4831 : Mettre à niveau Veeam Backup & Replication 12 vers la version 12.3.2.4465 et VBR 13 vers la version 13.0.1.2067. Le correctif remplace l’ensemble des requêtes dynamiques par des requêtes préparées paramétrées.
2. Auditer et restreindre les attributions du rôle backup viewer : Énumérer les comptes détenteurs du rôle Backup Viewer. Révoquer les accès non nécessaires et imposer le MFA sur la console d’administration pour tous les comptes.
3. Isoler le port PostgreSQL sur l’interface locale : S’assurer que le service PostgreSQL sur le port TCP 5432 écoute exclusivement sur l’adresse de bouclage 127.0.0.1 et demeure inaccessible depuis les réseaux externes.

---

6. Renseignements connexes et navigation dans la série Veeam

Partie 1 : architecture et acteurs menaçants Composants VBR, schéma de base de données PostgreSQL et menaces.

Partie 2 : matrice des vulnérabilités et exploitation Analyse comparative des failles critiques Veeam et historique des correctifs.

Partie 4 : investigation forensique DFIR Requêtes SQL de triage sur la base de données PostgreSQL et analyse des logs de sessions.

CVE-2026-21669 : RCE utilisateur de domaine Analyse de l'exécution de code à distance par utilisateur authentifié du domaine sur VBR v13.

---

7. Sources officielles et références vérifiées

Veeam Support - Bulletin de sécurité KB4830 Avis officiel de l'éditeur couvrant la CVE-2026-21708 pour Veeam Backup & Replication 12.

Wiz Research - Analyse des vulnérabilités critiques dans l'infrastructure Veeam Rapport technique analysant l'évasion de bac à sable PostgreSQL vers l'exécution de commandes OS.

CERT-FR - Bulletin d'alerte CERTFR-2026-AVI-0298 Avis national détaillant les vulnérabilités critiques dans Veeam Backup & Replication.

SentinelOne Vulnerability Database - CVE-2026-21708 Évaluation de la menace et ingénierie de détection endpoint pour la CVE-2026-21708.