CVE-2026-32996: l'agent de còpies deixava el tiquet d'administrador escrit en un log

La prova de concepte de CVE-2026-32996 no desborda cap pila ni corromp memòria. Obre un fitxer de text, hi busca un identificador amb pinta de GUID, el presenta per una canonada amb nom i executa el que li diguis. Com a SYSTEM. El fitxer és un log de l'agent de còpies i el pot llegir qualsevol usuari de l'equip.

La fallada rau en la manera com el servei Veeam Endpoint Backup atén les sessions elevades per la seva canonada gRPC local, \\.\pipe\Veeam\VAW\ServiceConnectionPipe: desa en memòria cau un principal d'administrador associat a un identificador de sessió que tria el client i que no queda lligat ni a l'usuari que el va demanar ni a la connexió per la qual el va demanar. I aquests identificadors acaben escrits a C:\ProgramData\Veeam\Endpoint\Svc.VeeamEndpointBackup.log, llegible per usuaris normals. La resta és copiar i enganxar.

L'investigador que el va trobar ho va publicar el 14 de setembre i l'endemà va pujar l'executable: s'invoca amb CVE-2026-32996.exe "whoami > C:\pwned.txt" i torna deu línies per consola. La seva frase resumeix la fallada millor que cap resum aliè: «Session UID can be spoofed, as it is not binded to a identity or connection». L'NVD el classifica com a CWE-532, «inserció d'informació sensible en un fitxer de registre», que és exactament el que va passar.

I ara les tres coses que, amb els avisos al davant, no quadren amb el que s'està publicant.

1. La versió que et diuen que miris no és la de l'agent

Gairebé tota la cobertura repeteix la mateixa frase: «afecta Veeam Agent per a Microsoft Windows 13.0.1.2067 i anteriors». Aquest número existeix, però no és una versió de l'agent: és una compilació de Veeam Backup & Replication. A la taula oficial de compilacions de l'agent no hi surt, i no hi pot sortir. Si obres el teu agent i compares, no hi trobaràs res de semblant, i és aquí on es conclou «doncs a mi no m'afecta».

Dit així es veu la simetria: cada compilació del servidor té la seva bessona de l'agent, publicada el mateix dia, amb una altra numeració. I convé repartir la culpa on toca, perquè no és de qui ho va copiar: el mateix avís del fabricant encapçala la secció amb «Affected Deployment Type: Veeam Agent for Microsoft Windows» i tot seguit escriu que les vulnerabilitats «affect Veeam Backup & Replication 13.0.1.2067 and all earlier version 13 builds». L'avís indueix l'error al seu primer paràgraf. La resta va ser propagació.

2. El pedaç del portàtil no és al portàtil

Quan l'agent està gestionat —el cas normal en qualsevol empresa amb un servidor de còpies—, la via suportada per portar-lo a la compilació corregida és actualitzar Veeam Backup & Replication a 13.0.2.29 o posterior, que porta amb ell la 13.0.3.1220 per als agents; després cal llançar aquella actualització des de la consola, no arriba sola. O sigui: el pedaç de dos-cents llocs d'usuari penja de la finestra de canvi del servidor de còpies.

I el servidor de còpies és, de llarg, la màquina que menys ganes té ningú de tocar: hi ha feines en marxa, la finestra nocturna és sagrada i si alguna cosa surt malament et quedes sense la xarxa de seguretat justament el dia que la necessites. Resultat: una escalada local d'un portàtil hereta el calendari del sistema més conservador de la casa. Quan algú es pregunta per què un pedaç publicat al maig segueix sense aplicar al setembre, la resposta gairebé mai no és «se'ns va oblidar»; és aquesta dependència, que està escrita als avisos tècnics però no a l'inventari de ningú.

És el mateix patró que ja vam comentar quan Acronis va documentar que el seu agent «requereix accés local»: el programari de còpies viu amb privilegi màxim al 100 % del parc, precisament perquè ho ha de llegir tot, i això el converteix en la superfície més privilegiada i més ubiqua que administres. El mateix que passa amb un servidor d'impressió: corre com a SYSTEM i ningú no el té a la llista de joies de la corona. La diferència és que el de còpies és a tot arreu.

3. «Explotació activa»: què sosté aquesta frase avui

Això de la «crítica» es despatxa ràpid: el fabricant la classifica com a alta, amb 7,3 en CVSS v4.0 i vector AV:L/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N, reportada per Alibaba a través de HackerOne. La L inicial és la que mana: cal ser ja dins de la màquina.

Això de l'«explotació activa» és més interessant, perquè es pot reconstruir sencer. El 16 de setembre, el proveïdor de detecció gestionada Arctic Wolf va publicar un butlletí titulat «UPDATE: Active Exploitation CVE-2026-32996». El cos d'aquell butlletí no afirmava explotació al món real. Deia això, i només això: «On September 14, 2026, public technical details and proof-of-concept (PoC) exploit code were released for CVE-2026-32996, increasing the likelihood of exploitation attempts against affected Veeam Agent for Microsoft Windows deployments». Això és una frase de probabilitat. «Augmenta la probabilitat d'intents» no és «l'estan explotant».

L'única cosa que deia «explotació activa» era el titular. I el titular és el que va viatjar. Una setmana després, el 22 de setembre, la cobertura ja ho havia convertit en observació —hi ha publicacions que escriuen que els investigadors «van confirmar que hi ha actors explotant la fallada»—, que és exactament el que el cos del butlletí no deia. Al cap d'uns dies, Arctic Wolf va retirar la peça: el 28 de setembre de 2026 aquella adreça no torna l'article, torna el llistat del blog.

Les dues fonts que continuen dempeus i que es poden consultar avui diuen el mateix que el cos del butlletí, no que el seu titular. L'avís del fabricant no esmenta explotació en cap punt. I el registre de l'NVD porta la decisió SSVC de la mateixa CISA, amb data del 28 de maig de 2026: exploitation: poc —prova de concepte, no explotació activa—, automatable: no i technicalImpact: total. I el catàleg de vulnerabilitats explotades conegudes de CISA, versió 2026.09.27, amb 1.728 entrades, no inclou aquesta CVE. L'hem descarregat i hi hem buscat avui.

Per què no funciona a totes les màquines

Al vector hi ha una lletra que gairebé ningú no comenta: AT:P. En CVSS v4 significa, literalment, que l'atac està «conditioned on execution conditions that are not under full control of the attacker». I el mateix exploit ho confirma sense voler: primer busca un GUID vàlid al log. Si en aquell equip mai no es va obrir una sessió elevada de l'agent, no hi ha identificador per robar. Cosa que redueix el nombre de màquines on funciona a la primera i no redueix ni un gram el dany a les que sí — i un atacant que ja és a dins té temps d'esperar que algú elevi.

Això dona una priorització que no és la del full de càlcul. El butlletí retirat ja recomanava prioritzar per rol —«systems used by administrators, backup operators, help desk personnel, or other privileged users»— i el consell és bo. Nosaltres hi afegim un pas, i és el que de debò decideix: no prioritzis per rol, prioritza per evidència. Obre el log i mira si hi ha GUID a dins. El rol et diu qui hauria d'haver elevat; el log et diu en quina màquina es va elevar de debò, inclosa aquella en què ningú no recorda haver-ho fet. Així ordenem el manteniment del parc quan surt una cosa d'aquest tipus: no per inventari alfabètic ni per organigrama, pel que hi ha escrit al disc.

Què faríem aquesta setmana

El que no afirmem

Quan això no va amb tu

Si no fas servir Veeam Agent per a Windows, no va amb tu i pots tancar la pestanya. Si el fas servir però ja vas per la branca 13.1 de l'agent solt, tampoc: estàs per damunt de la corregida. I si sou sis persones amb sis portàtils i l'agent el va instal·lar i actualitzar la mateixa persona fa dues setmanes, això són deu minuts de comprovar una versió, no un projecte.

Ho diem sabent de quin costat cobrem: venem manteniment de parc i serveis gestionats, així que un post que acaba en «cal inventariar versions» ens afavoreix. Per això convé el contrapès: si ja tens una eina que et diu en un clic quina compilació de l'agent corre a cada màquina, ja has fet la part difícil i no necessites ningú. La que no la té és l'empresa que descobreix la resposta obrint equips d'un en un, i aquesta sí que té un problema que no és aquesta CVE.

Fonts (verificades el 28 de setembre de 2026): descripció de la fallada, severitat alta, 7,3 en CVSS v4.0, vector complet, crèdit a Alibaba via HackerOne, correcció a partir de 13.0.2.29 i la mateixa frase que indueix la confusió de versions — Veeam KB4852, «Vulnerabilities Resolved in Veeam Backup & Replication 13.0.2» (publicat el 27-05-2026, última modificació el 17-08-2026); taula oficial de compilacions de l'agent amb les seves dates —13.0.2.1102 el 12-03-2026, 13.0.3.1220 el 27-05-2026, 13.1.1.700 el 13-08-2026 i 13.0.4.1341 el 25-08-2026— i absència de 13.0.1.2067 com a compilació d'agent — Veeam KB2683; dates de les compilacions de servidor — Veeam KB4738; anàlisi tècnica original, citació sobre l'identificador de sessió i correspondència servidor/agent — suce, «CVE-2026-32996 Veeam Agent Local Privilege Escalation» (14-09-2026, actualitzat el 15-09-2026), amb el repositori creat el 15-09-2026 (data presa de l'API de GitHub); CWE-532, puntuació i decisió SSVC de CISA (exploitation: poc, automatable: no, technicalImpact: total, 28-05-2026) — registre de l'NVD, consultat via API; absència del catàleg KEV de CISA (versió 2026.09.27, 1.728 entrades), JSON descarregat i cercat avui; definició d'AT:P — especificació CVSS v4.0 de FIRST. El butlletí d'Arctic Wolf del 16-09-2026 (títol, cos i recomanació de prioritzar per rol) se cita des d'una còpia arxivada: l'adreça original ja no torna l'article.