CVE-2024-40711: Veeam Backup and Replication Deserialization Vulnerability

Severity: critical (CVSS 9.8 v3.1)
Exploited in the wild: yes — in CISA KEV since 2024-10-17
EPSS: 90.4% probability of exploitation in the next 30 days
Public exploit or detection template: yes
Published: 2024-09-07 · updated 2026-06-17
Weakness: CWE-502

Description

A deserialization of untrusted data vulnerability with a malicious payload can allow an unauthenticated remote code execution (RCE).

Summary

CVE-2024-40711 is a critical deserialization of untrusted data flaw in Veeam Backup & Replication that lets an unauthenticated attacker execute remote code with a malicious payload (CVSS 9.8). It affects Veeam Backup & Replication and is fixed in version 12.2.0.334. Exploitation is active: the flaw is in CISA's Known Exploited Vulnerabilities catalog, a public exploit or detection template exists, and EPSS puts 30-day exploitation probability at 90.4%. Apply mitigations per vendor instructions, upgrade to 12.2.0.334, or discontinue use of the product if mitigations are unavailable.

CVE-2024-40711 ثغرة حرجة من نوع إزالة تسلسل البيانات غير الموثوقة في Veeam Backup & Replication، تتيح لمهاجم غير مصادق عليه تنفيذ تعليمات برمجية عن بُعد عبر حمولة خبيثة (CVSS 9.8). تؤثر الثغرة في Veeam Backup & Replication وقد أُصلحت في الإصدار 12.2.0.334. الاستغلال نشط: الثغرة مدرجة في كتالوج CISA للثغرات المعروفة بالاستغلال، ويتوفر استغلال عام أو قالب كشف، وتقدّر EPSS احتمال الاستغلال خلال 30 يوماً بنسبة 90.4%. طبّق التخفيفات وفق تعليمات المورّد، أو حدّث إلى 12.2.0.334، أو أوقف استخدام المنتج إذا لم تتوفر التخفيفات.

Affected products

Veeam Backup & Replication: from 12.0.0.1420 before 12.2.0.334 — fixed in 12.2.0.334

How to fix

Upgrade to a fixed version: Veeam Backup & Replication 12.2.0.334. Check the vendor advisory for mitigations.

References

Get alerted when CVE-2024-40711 or the next vulnerability affects your stack