发生了什么
2026 年 11 月 6 日，Veeam 发布安全通告 KB4966《CVE-2026-98432 Impact Statement》，首次以产品清单的形式确认：凡是内置 Linux 内核的 Veeam 组件均受 Linux 内核 TCP/IPv4 漏洞 CVE-2026-98432（CVSS 9.8）影响，并给出了各产品的修复交付路径。这是该漏洞自 10 月 15 日公开以来，首次有备份厂商逐项确认受影响范围。
CVE-2026-98432 是 Linux 内核 TCP 连接建立过程中的 use-after-free 漏洞，影响自 4.4 起的多个内核分支。未授权的远程攻击者可触发内存破坏或拒绝服务；按 Red Hat 安全公告的评估，在开启多路径 TCP（MPTCP）监听的系统上，理论上可能被用于远程执行代码。截至本轮巡查，仍无已确认的在野利用报告，该漏洞也未列入 CISA 已知在野利用漏洞目录（KEV）。
受影响的 Veeam 产品
按 KB4966 的清单：
- Veeam Software Appliance 13.1 与 Veeam Infrastructure Appliance 13.1（内置 Linux 内核的备份一体机）；
- Veeam Backup & Replication 13.1（Windows 版）与 12.3 所用的 Linux 辅助主机、启动/恢复介质，以及超虚拟化插件部署的工作节点；
- Veeam Cloud Connect 相关组件；
- AWS、Microsoft Azure、Google Cloud 插件所用的云端设备（运行 Ubuntu Linux）；
- Veeam Agent for Linux 的恢复介质。
不受影响：Veeam Kasten for Kubernetes——其容器镜像不含 Linux 内核。另需注意，客户自行管理的、托管 Veeam 组件的 Linux 服务器不在 Veeam 的修复范围内，应按所用发行版（Ubuntu、Red Hat 等）的安全公告自行更新内核。
修复路径（按产品区分）
- Software Appliance / Infrastructure Appliance 13.1：修复内核 5.14.0-570.60.1+27.2.el9_6_ciq 自 11 月 2 日起已在 Veeam 软件源中提供，通过 Veeam Updater 下发（Updater 每 12 小时检查一次软件源）；安装后重启设备并核对内核版本。
- VBR 13.1（Windows 版）：先升级到 13.1.2.57，再安装 Veeam 11 月 5 日发布的私有补丁。
- VBR 12.3：私有补丁在 11 月 6 日通告发布时仍标注为“即将发布”，请以 KB4966 的最新状态为准，发布后按通告步骤安装。
- 云插件设备（AWS / Azure / GCP）：随 Ubuntu 内核更新经 Veeam Updater 一并下发；Ubuntu 各版本的修复状态以 Ubuntu CVE 跟踪页为准。
自查步骤
- 清点环境中是否在用上述任一 Veeam 组件（尤其注意备份一体机与云插件设备，它们常被当作“黑盒”而漏更新）；
- 一体机用户：打开 Veeam Updater，确认是否已收到含修复内核 5.14.0-570.60.1+27.2.el9_6_ciq 的更新，安装后重启并核对内核版本；
- VBR Windows 版用户：核对是否已到 13.1.2.57 并安装了 11 月 5 日的私有补丁；12.3 用户留意 KB4966 中私有补丁的发布状态；
- 客户自管 Linux 服务器：按发行版公告更新内核（Ubuntu 22.04/24.04/26.04 的修复内核已进入正式更新通道，见本栏目 11 月 6 日指南），更新后重启并用
uname -r核对； - 备份系统本身就是最后防线：修复前先确认备份数据可恢复，修复后做一次恢复演练。
提醒
Veeam 另行通告：部分运行在 AMD EPYC 7262、7302、7F72 处理器主机上的 Software Appliance 虚拟机在重启后可能出现启动失败（与内核启动过程有关），这是与本漏洞不同的独立问题；在上述型号主机上重启一体机前，请先查阅 Veeam 的相关通告。
背景补充：此前本栏目已发两篇同漏洞指南——11 月 4 日《Linux 内核 TCP 漏洞 CVE-2026-98432：影响、修复进展与自查》与 11 月 6 日《Linux 内核 CVE-2026-98432 新进展：Ubuntu 修复内核已进正式更新通道，影响与自查》。本次新增内容仅为 Veeam 厂商的受影响产品清单与修复交付路径；漏洞本身仍无已确认的在野利用、未进 CISA KEV。
来源：Veeam KB4966《CVE-2026-98432 Impact Statement》（2026-11-06 发布，15:10 UTC 更新）；CISA KEV 官方 JSON（2026-11-06 版，1,769 条）；Ubuntu CVE 跟踪页实测（本轮仍无 USN 公告）。