Bei der Software Appliance handelt es sich um vorkonfigurierte, Linux-basierte virtuelle Maschinen, mit denen Administratoren die Backup-Suite Veeam Backup & Replication auf Linux-Systemen betreiben können, ohne Abhängigkeiten manuell zu installieren oder die Software selbst einzurichten. Um Vorgaben aus unternehmensinternen und behördlichen Sicherheitsrahmenwerken zu erfüllen, führt der zugrunde liegende Linux-Kernel im FIPS-Modus bereits beim frühen Start integrierte Gesundheits- und Kryptoprüfungen aus, darunter Jitterentropy-Selbsttests.
Genau dieser Jitterentropy-Test schlägt nach Angaben von Veeam auf bestimmten AMD-EPYC-Prozessoren sporadisch fehl, woraufhin der Kernel den Startvorgang mit einer Kernel-Panic abbricht. In einem Hinweis vom Mittwoch schreibt das Unternehmen: „Eine virtuelle Maschine der Veeam Software Appliance (Linux-basiertes Veeam Backup & Replication), die auf einem Host mit AMD-EPYC-Prozessor läuft, startet nach einem Neustart zeitweise nicht – auch nach einem Neustart, der auf ein Update mit neuem Kernel folgt."
Ausdrücklich genannt werden die Prozessoren AMD EPYC 7262, 7302 und 7F72. Auf betroffenen Systemen erscheint die Fehlermeldung „Kernel panic - not syncing: jitterentropy: Initialization failed with host not compliant with requirements: 9". Die Ursache liegt in der vom Appliance-Image verwendeten Linux-Kernel-Version.
Als Abhilfe empfiehlt Veeam, die Appliance auf einem Linux-Host mit einem anderen Prozessor neu bereitzustellen. Ist das nicht möglich, sollen Administratoren die automatischen Updates für die Appliance deaktivieren und Aktualisierungen manuell einspielen, während sie den Neustart der VM beobachten. „Tritt die Kernel-Panic auf, schalten Sie die virtuelle Maschine aus und wieder ein. Ein Neustart des Gastbetriebssystems stellt die virtuelle Maschine nicht wieder her", so Veeam. Nach erfolgreichem Start seien keine weiteren Fehler zu erwarten, der Betrieb von Veeam Backup & Replication werde nicht beeinträchtigt.
Ebenfalls am selben Tag teilte Veeam mit, dass einige seiner Produkte von einer kritischen Linux-Kernel-Schwachstelle im IPv4-TCP-Netzwerkcode betroffen sind. Die als CVE-2026-98432 geführte Lücke erlaubt es nicht authentifizierten Angreifern aus der Ferne, auf Servern mit Multipath-TCP-Listenern (MPTCP) Befehle mit Root-Rechten auszuführen. Für einen Teil der betroffenen Veeam-Komponenten liegt bereits eine Korrektur vor; den gepatchten Kernel verteilt das Unternehmen entweder als privaten Fix oder über den Veeam Updater.
Veeam-Produkte werden nach Unternehmensangaben von mehr als 550.000 Kunden eingesetzt, darunter 74 Prozent der Global-2000-Unternehmen und 82 Prozent der Fortune-500-Konzerne.