Veeam mahsulotlarida Linux yadrosi bilan boğliq CVSS 9.8 ballik kritik zaiflik aniqlandi!

Veeam kompaniyasi Linux operatsion tizimi yadrosida aniqlangan CVE-2026-98432 identifikatorli kritik zaiflik yuzasidan ogohlantiriş eʼlon qildi. CVSS 3.1 şkalasi böyiça 9.8 ball bilan baholangan mazkur zaiflikdan foydalaniş orqali masofaviy tajovuzkor tizim işini izdan çiqarişi, xotira yaxlitligini buzişi hamda ayrim şaroitlarda tizimda zararli kodni bajarişi mumkin. Zaiflik, ayniqsa, maʼlumotlarni zaxiralaş va tiklaş jarayonlarida foydalaniladigan Veeam infratuzilmasi uçun jiddiy xavf tuğdiradi.

2026-yil 15-oktabrda eʼlon qilingan CVE-2026-98432 zaifligi Linux yadrosining IPv4 tarmoq quyi tizimida, xususan, TCP ulanişlarini örnatiş jarayonida yuzaga keladigan Use-After-Free turidagi xotira boşqaruvi xatosi bilan boğliq.

Mazkur zaiflik tizim tomonidan foydalanilayotgan xotira maydoni böşatilganidan keyin ham unga murojaat qiliş holati yuzaga kelişi natijasida paydo böladi. Boşqaça aytganda, Linux yadrosi muayyan tarmoq ulanişiga tegişli maʼlumotlarni qayta işlaş jarayonida xotiradagi obyektni foydalaniş tugaşidan oldin böşatib yuborişi, boşqa jarayon yoki protsessor yadrosi esa uşbu maʼlumotlarga murojaat qilişda davom etişi mumkin.

Texnik jihatdan, muammo TCP ulanişlarini qayta işlaş jarayonidagi parallel operatsiyalar (race condition) bilan boğliq. Xususan, qayta yuborilgan SYN paketlari bir vaqtning özida qayta işlanganda yoki ulanişga tegişli maʼlumotlar boşqa soketga köçirilganda xotiradan notöğri foydalaniş holati yuzaga kelişi mumkin.

Mazkur xatolikdan foydalaniş uçun tajovuzkor maxsus şakllantirilgan IPv4 TCP paketlarini nişondagi tizimga yuborişi mumkin. Bunda ayrim hujum ssenariylarida foydalanuvçining tizimga kiriş huquqi yoki qöşimça harakati talab etilmaydi.

Zaiflikdan muvaffaqiyatli foydalaniş quyidagi oqibatlarga olib kelişi mumkin:

Xizmat körsatişni rad etiş (DoS) — operatsion tizim yadrosida xatolik yuzaga kelişi natijasida server yoki qurilmaning işdan çiqişi;

Xotira yaxlitligining buzilişi — tizim xotirasidagi maʼlumotlarning notöğri qayta işlanişi yoki buzilişi;

Masofadan kod bajariş (RCE) — muayyan texnik şartlar mavjud bölgan holatlarda tajovuzkor tomonidan tizimda ruxsatsiz buyruqlarni bajariş imkoniyati.

Şuni alohida taʼkidlaş kerakki, Veeam kompaniyasining 2026-yil 6-noyabrdagi xavfsizlik ogohlantirişida öz mahsulotlariga nisbatan uşbu zaiflikdan amalda foydalaniş holatlari tasdiqlanmagan. Biroq xavfsizlik tadqiqotçilari ayrim Linux tizimlarida, jumladan, Multipath TCP (MPTCP) tinglovçi ulanişlari mavjud bölgan muhitda masofadan kod bajariş imkoniyatini namoyiş etgan. Bu esa zaiflikni eʼtiborsiz qoldirmaslik zarurligini körsatadi.

Qaysi Veeam mahsulotlari zaiflikdan ta’sirlangan?

Veeam kompaniyasi maʼlumotlariga köra, CVE-2026-98432 Linux yadrosidan foydalanadigan bir qator zaxiralaş va tiklaş komponentlariga taʼsir körsatadi.

Jumladan:

  • Veeam Software Appliance 13.1 — tuzatilgan Linux yadrosi yangilanişi örnatilmagunça zaiflikdan taʼsirlanadi.
  • Veeam Infrastructure Appliance 13.1 — zaxiralaş proksilari (Backup Proxy), maʼlumotlar omborlari (Backup Repository), himoyalangan omborlar (Hardened Repository), şlyuz serverlari (Gateway Server), tiklaş uçun ulaniş nuqtalari (Mount Server) va boşqa infratuzilma komponentlari.
  • Veeam Cloud Connect — bulutli zaxiralaş xizmatlarida foydalaniladigan Cloud Gateway va WAN Accelerator komponentlari.
  • Veeam Backup & Replication 13.1 va 12.3 — Windows operatsion tizimida işlaydigan asosiy dasturiy taʼminotning özi emas, balki uning tarkibida foydalaniladigan Linux asosidagi yordamçi virtual qurilmalar (Helper Appliances) zaiflikdan taʼsirlangan.
  • Veeam Plug-In for AWS, Microsoft Azure va Google Cloud — bulutli infratuzilmada işlaydigan Linux asosidagi yordamçi qurilmalar yangilanmagunça xavf ostida qoladi.
  • Veeam Agent for Linux 13.1 — yangilanişdan oldin yaratilgan tiklaş vositalari (Recovery Media) ham zaif Linux yadrosini öz içiga olişi mumkin.

Bundan taşqari, Veeam gipervizorlar uçun plaginlari orqali işga tuşiriladigan yordamçi işçi qurilmalar (Workers) ham tegişli yangilanişlarni talab qiladi.

Veeam Kasten for Kubernetes mahsulotining konteyner obrazlari (Container Images) Linux yadrosini öz içiga olmagani sababli bevosita uşbu zaiflikdan taʼsirlanmaydi. Biroq mazkur platforma işlayotgan Kubernetes tugunlarining (Nodes) operatsion tizimi Linux yadrosidan foydalanadi. Şu sababli ularning ham xavfsizlik holatini alohida tekşiriş va zarur yangilanişlarni örnatiş lozim.

Zaiflikni bartaraf etiş böyiça tavsiyalar

Veeam kompaniyasi aniqlangan zaiflikni bartaraf etiş uçun tegişli xavfsizlik yangilanişlarini taqdim etgan.

2026-yil 2-noyabrdan boşlab Veeam Software Appliance 13.1 va Veeam Infrastructure Appliance 13.1 mahsulotlari uçun tuzatilgan Linux yadrosi Veeam Updater orqali tarqatila boşlangan.

Taqdim etilgan tuzatilgan yadro versiyasi:

5.14.0-570.60.1+27.2.el9_6_ciq

Mazkur yangilanişni örnatiş uçun tizim administratorlari Veeam Host Management konsoliga kirib, mavjud yangilanişlarni tekşirişlari va ularni qölda örnatişlari mumkin. Yangilaniş kuçga kirişi uçun qurilmani qayta işga tuşiriş talab etilişi mumkin.

Veeam Updater standart sozlamalarda yangilanişlar omborini har 12 soatda tekşiradi. Majburiy yangilanişlar avtomatik rejimda zaxiralaş serverining vaqt mintaqasiga muvofiq eng yaqin yakşanba kuni soat 14:00 da örnatiladi. Şu sababli administratorlar avtomatik yangilanişni kutib ötirmasdan, mavjud xavfsizlik yangilanişlarini qölda örnatişlari maqsadga muvofiq.

Windows operatsion tizimida işlaydigan Veeam Backup & Replication 13.1 foydalanuvçilari uçun ham alohida tuzatiş taqdim etilgan. Uni örnatişdan oldin dasturiy taʼminotning 13.1.2.57 versiyasi mavjudligini tekşiriş zarur. Yangi örnatişlar uçun tuzatilgan versiyani öz içiga olgan yangilangan örnatiş fayllaridan foydalaniş tavsiya etiladi.

Veeam Backup & Replication 12.3 versiyasi uçun esa kompaniyaning 6-noyabrdagi ogohlantirişida maxsus tuzatiş (Private Fix) yaqin vaqt içida taqdim etilişi bildirilgan.

Şuningdek, quyidagi qöşimça çoralarni amalga oşiriş lozim:

  1. Yordamçi virtual qurilmalarni yangilaş: vaqtinçalik Helper Appliance qurilmalari qayta joylaştirilganda yangilangan obrazlardan foydalaniş, doimiy işlaydigan virtual laboratoriyalar va Microsoft Azure yordamçi qurilmalarini esa yangilangan versiyalar bilan qayta joylaştiriş.
  2. Tiklaş vositalarini yangilaş: xavfsizlik yangilanişidan oldin yaratilgan Veeam Recovery Media vositalarini yangilangan versiyalarga almaştiriş.
  3. Bulutli infratuzilmani tekşiriş: AWS, Microsoft Azure va Google Cloud platformalaridagi Veeam yordamçi qurilmalariga mavjud Linux yadrosi yangilanişlarini örnatiş.
  4. Linux serverlarini yangilaş: taşkilot tomonidan mustaqil boşqariladigan Linux asosidagi proksi, maʼlumotlar ombori va şlyuz serverlarida foydalanilayotgan yadro versiyalarini tekşiriş hamda operatsion tizim işlab çiqaruvçisi tomonidan taqdim etilgan xavfsizlik yangilanişlarini örnatiş.
  5. Kubernetes infratuzilmasini tekşiriş: Veeam Kasten işlayotgan Kubernetes tugunlarining operatsion tizimlari uçun işlab çiqaruvçi tomonidan taqdim etilgan xavfsizlik yangilanişlarini örnatiş.
  6. Yangilanişlar örnatilganini tasdiqlaş: Veeam Host Management konsolidagi yangilanişlar tarixi (History) bölimi orqali tuzatişlar muvaffaqiyatli örnatilganini tekşiriş. Mahalliy yangilanişlar omboridan (Local Repository Mirror) foydalanilayotgan bölsa, uning ham öz vaqtida sinxronlaştirilganiga işonç hosil qiliş.

Xulosa va tavsiyalar

CVE-2026-98432 zaifligi oddiy dasturiy xatolik emas, balki Linux operatsion tizimi yadrosining tarmoq ulanişlarini qayta işlaş mexanizmidagi jiddiy xotira boşqaruvi muammosi hisoblanadi. Uning yuqori xavf darajasi va ayrim şaroitlarda masofadan foydalaniş imkoniyati taşkilotlarning server infratuzilmasi, ayniqsa, zaxiralaş va maʼlumotlarni tiklaş tizimlari xavfsizligiga alohida eʼtibor qaratişni talab qiladi.

Mazkur zaiflikdan foydalaniş natijasida zaxiralaş qurilmalari yoki yordamçi serverlarning işdan çiqişi maʼlumotlarni zaxiralaş, tiklaş va avariyadan keyingi tiklaş (Disaster Recovery) jarayonlarining uzilişiga olib kelişi mumkin. Natijada kiberhodisa yoki texnik nosozlik yuz bergan vaziyatda taşkilotning muhim axborot tizimlarini qayta tiklaş imkoniyatlari çeklanişi ehtimoli mavjud.

Şu munosabat bilan taşkilotlarning axborot texnologiyalari va kiberxavfsizlik bölinmalariga Veeam mahsulotlari hamda ular bilan boğliq Linux infratuzilmasini xatlovdan ötkaziş, foydalanilayotgan versiyalarni aniqlaş, işlab çiqaruvçi tomonidan taqdim etilgan xavfsizlik yangilanişlarini zudlik bilan örnatiş va barça yordamçi komponentlarning ham yangilanganligiga işonç hosil qiliş tavsiya etiladi.

Eslatma: faqat asosiy Veeam serverini yangilaş bilan çeklanib qolmaslik kerak. Zaxiralaş va tiklaş jarayonlarida iştirok etadigan yordamçi virtual qurilmalar, proksi serverlar, maʼlumotlar omborlari va bulutli komponentlar ham alohida tekşirilişi lozim.