Veeam Agent for Windows 本地提权漏洞 CVE-2026-32996 遭在野利用：备份软件为何成了 SYSTEM 权限跳板

事件概述

安全厂商 Arctic Wolf 近期发出警告：Veeam Agent for Microsoft Windows 中存在一个本地权限提升漏洞（CVE-2026-32996，CVSS 评分 7.3），且已经在真实攻击活动中遭到利用。该漏洞源于 Veeam Endpoint Backup 服务在处理高权限客户端会话时的机制缺陷：服务通过本地 gRPC 命名管道 \\.\pipe\Veeam\VAW\ServiceConnectionPipe 通信时，会把高权限管理员主体与客户端控制的会话 UID 缓存绑定，但这个 UID 并未与发起请求的用户或连接做唯一绑定。

更关键的是，高权限会话 UID 会被写入 C:\ProgramData\Veeam\Endpoint\Svc.VeeamEndpointBackup.log 日志文件，而普通用户默认就能读取该文件内容。攻击者只需从日志中获取有效 UID，就可以滥用对应的权限绑定关系，以 SYSTEM 身份执行任意命令。目前 GitHub 上已经出现公开 PoC，通过执行 whoami 并将输出写入文件的方式完整演示了这一攻击路径，这意味着即使是没有太多技术积累的攻击者也可以直接照着复现。

影响范围

该漏洞影响安装了 Veeam Agent for Microsoft Windows 的 Windows 终端，包括物理服务器、虚拟机和桌面工作站。Veeam Agent 是 Veeam 面向单机备份场景的常用产品，很多中小企业用它来备份域控制器、文件服务器和关键业务主机，装机量不小。与之同批被 CISA 关注的还有 Zyxel 防火墙的一个在野利用漏洞——美国联邦民事行政部门（FCEB）所属机构被要求在 2026 年 9 月 24 日前完成修复，侧面说明这批漏洞的实际威胁等级不低。

需要注意的是，这是一个本地权限提升漏洞，攻击者首先需要在目标机器上拥有某种形式的本地访问能力——例如通过钓鱼附件落地的恶意程序、被入侵的低权限服务账号、或者绕过安全机制后获得的初始立足点。它不是远程无认证漏洞，普通家庭用户如果只是正常上网、不运行可疑程序，直接被利用的概率较低。

为什么站长和企业运维要关注

备份软件的特殊性在于：它几乎总是以最高权限运行。备份程序要读取磁盘上所有文件、访问系统状态、操作卷影副本，因此 Veeam Agent 的服务以 SYSTEM 权限运行是产品设计的必然。问题在于，一旦这类高权限服务存在会话绑定缺陷，任何能在本机执行代码的攻击者都可以借它完成"低权限到 SYSTEM"的最后一跳。

对中小企业来说，这个组合相当危险：许多企业的域控制器、财务服务器恰恰是用 Veeam Agent 做备份的。攻击者一旦在这些机器上从普通服务账号提权到 SYSTEM，就可以完整接管域控、窃取 NTDS.dit 哈希、部署勒索软件，甚至直接删除或加密备份任务本身——让企业在事发后无路可退。近年来多起大规模勒索事件都把"先打掉备份"作为标准动作，备份服务器和备份软件本身早已是勒索团伙的重点目标。

攻击利用前提与风险路径

综合 Arctic Wolf 的分析与公开 PoC，完整的攻击链大致是：攻击者先通过某种方式在目标 Windows 主机上获得普通用户级别的代码执行（恶意宏、供应链投毒、暴露的远程服务漏洞等都可能）；随后读取 ProgramData 目录下可读的 Veeam 日志文件，从中提取高权限会话 UID；再通过本地命名管道与 Veeam Endpoint Backup 服务交互，冒用该 UID 建立"管理员会话"；最终以 SYSTEM 身份执行命令。整个过程不需要内核漏洞，也不需要重启，隐蔽性较好。

利用前提可以概括为三点：本机已有初步立足点、Veeam Agent 服务在运行、日志文件权限允许普通用户读取。对防御方而言，这意味着排查重点应该放在"是否有异常进程读取过 Veeam 日志"以及"SYSTEM 权限下出现了来历不明的命令执行"这两类信号上。

排查思路

建议运维人员按以下步骤检查自己的环境：

1. 确认资产清单：在企业内网盘点所有安装了 Veeam Agent for Windows 的主机，包括域控、文件服务器和员工工作站，别漏掉那些"装完就忘"的老机器。

2. 检查日志访问痕迹：重点查看 C:\ProgramData\Veeam\Endpoint\ 目录下日志文件的访问情况，留意是否有非备份服务进程读取过 Svc.VeeamEndpointBackup.log。如果部署了 EDR，可以回溯相关文件的读取事件。

3. 核查可疑的 SYSTEM 进程行为：检查 Windows 安全日志中 4688 进程创建事件，关注以 SYSTEM 身份运行、但父进程异常（如来自用户临时目录、AppData）的命令行。

4. 检查命名管道与网络连接：留意是否有异常进程连接 Veeam 服务管道，或备份主机出现不该有的出站连接。

修复与缓解建议

1. 优先升级：关注 Veeam 官方安全公告，将 Veeam Agent for Microsoft Windows 升级到包含该漏洞修复的版本。Veeam 通常会在其安全公告页面（veeam.com/security-advisories）发布受影响版本与修复版本对照，请以官方公告为准。

2. 升级前备份：对承载备份任务的服务器，升级前先确认现有备份副本完好且至少有一份离线副本，避免升级过程本身造成恢复能力空窗。

3. 收紧日志权限：在官方修复到位前，可以评估收紧 C:\ProgramData\Veeam\Endpoint\ 目录的 ACL，限制普通用户读取日志文件（注意先在测试环境验证，避免影响 Veeam 服务自身的日志写入）。

4. 限制本地立足点：既然利用前提是本机已有代码执行，常规终端加固仍然有效——及时打系统补丁、限制 Office 宏、对服务器账户做最小权限化、禁用或严格管控不必要的服务账号。

5. 保护备份本身：备份任务配置的管理口令不要与域管理员口令复用；有条件的企业应启用备份仓库的不可变存储（immutable repository），确保即使攻击者拿到 SYSTEM 权限也无法直接删除备份副本。

6. 监控与取证：升级补丁只能封住漏洞，不能清除攻击者已经建立的持久化。对确认遭遇过入侵的主机，应先留存日志与镜像证据，再进行重装或密码轮换。

后续观察

随着公开 PoC 流传，预计针对该漏洞的自动化利用工具会在数周内出现在各类后渗透框架中，CISA 后续将其加入已知被利用漏洞（KEV）目录的可能性较高。Veeam 产品线近年来多次出现被在野利用的漏洞，攻击者对"备份基础设施=勒索前奏"这条路径的兴趣只会增加。建议持续关注 Veeam 官方公告与主流安全厂商的后续分析，同时把"备份软件自身的补丁管理"纳入企业补丁管理的常规清单——它和操作系统补丁一样重要，却经常被遗忘。

以上信息基于 Arctic Wolf 安全通告与 FreeBuf 等公开报道整理，具体受影响版本与修复方式请以 Veeam 官方安全公告为准。