Inyección SQL y Ejecución Remota de Código Microsoft 365 (CVE-2026-106076)

Se ha identificado una vulnerabilidad crítica de inyección SQL (CWE-89) en Veeam Backup for Microsoft 365. Esta falla permite que un usuario autenticado como organization-transfer peer inyecte comandos SQL maliciosos en la base de datos de configuración del servidor de respaldo de origen.

Vector de Ataque: Red (Remoto, requiere privilegios bajos de organization-transfer peer y condiciones de ataque presentes).

Impacto: Conduce a la lectura y escritura no autorizada de datos de configuración entre diferentes inquilinos (cross-tenant), permitiendo además la ejecución remota de código (RCE) bajo los privilegios de la cuenta de servicio de PostgreSQL.

Parches y Actualizaciones: actualizar de inmediato a Veeam Backup for Microsoft 365 8.6 (compilación 8.6.0.1102) o versiones posteriores.

Mitigaciones Temporales: restringir o revocar los permisos de organization-transfer peer para aquellos usuarios que no necesiten acceso a configuraciones de transferencia entre organizaciones.

Buenas Prácticas: segmentar la red para aislar el servicio PostgreSQL y monitorear los registros en busca de consultas SQL anómalas o patrones de inyección.

https://nvd.nist.gov/vuln/detail/cve-2026-106076