KritičnoIT security noviceRanljivosti

AhsayCBS: napadalci izkoriščajo dve ranljivosti za namestitev web shellov in rudarjev kriptovalut

Ahsay Backup je izdal nove popravke za dve ranljivosti v AhsayCBS, potem ko so se prejšnji popravki izkazali za nepopolne. Napadalci sta ranljivosti verigo verjetno povezali za obhod avtentikacije in izvajanje ukazov z najvišjimi pravicami na prizadetih sistemih.

CyberRadar ocena71 / 100
CVSS9,3
EPSS1,8 %
KEVDa (CISA KEV)
Ilustracija strežnika za varnostno kopiranje z opozorilnim simbolom, ki ponazarja kibernetski napad na AhsayCBS

Kaj se je zgodilo

Ahsay Backup, ponudnik rešitev za varnostno kopiranje s sedežem v Singapurju, je izdal varnostne posodobitve za dve ranljivosti v platformi AhsayCBS. Gre za CVE-2026-105133 in CVE-2026-105134, ki ju napadalci po navedbah The Hacker News verigo povezujejo za obhod avtentikacije in izvajanje poljubnih ukazov na prizadetih sistemih. Posodobitve so bile izdane, ker so se prejšnji popravki izkazali za nepopolne.

Ahsay Cloud Backup Server je upravljalna platforma, ki jo uporabljajo ponudniki upravljanih storitev (MSP) in sistemski integratorji za upravljanje uporabnikov, politik in operacij varnostnega kopiranja. CVE-2026-105133 je ranljivost srednje resnosti v funkciji checkSysPwd, povezani z avtentikacijo, medtem ko je CVE-2026-105134 kritična ranljivost v končni točki Replication Receiver (/rps/api/json/UpdateReceivers.do). Skupaj napadalcem omogočata obhod prijavnih preverjanj in izvajanje ukazov s pravicami NT AUTHORITY\SYSTEM, kar pomeni popoln nadzor nad prizadetim Windows gostiteljem.

CVE-2026-105134 ima po podatkih NVD oceno CVSS 4.0 9,3, kar jo uvršča med kritične ranljivosti. CVE-2026-105133 ima oceno CVSS 4.0 5,5 (srednja resnost). Obe ranljivosti sta vključeni v katalog CISA Known Exploited Vulnerabilities (KEV), kar potrjuje njuno aktivno izkoriščanje. Vrednost EPSS za CVE-2026-105134 znaša 1,8 %, za CVE-2026-105133 pa 0,4 % (podatki z dne 14. 10. 2026).

Kaj to pomeni za slovenska in evropska podjetja

AhsayCBS uporabljajo predvsem ponudniki upravljanih storitev in sistemski integratorji, kar pomeni, da uspešen napad na eno samo instanco platforme lahko ogrozi varnostne kopije več strank hkrati. Glede na to, da gre za orodje za upravljanje varnostnega kopiranja, je posebej zaskrbljujoče, da napadalci po uspešnem izkoriščanju nameščajo web shelle za trajen dostop in rudarje kriptovalut XMRig, prikrite kot Microsoft Edge. Trajen dostop do infrastrukture za varnostno kopiranje lahko napadalcem omogoči tudi manipulacijo ali uničenje rezervnih kopij, kar je posebej nevarno v primeru kasnejšega izsiljevalskega napada.

Glede na to, da sta obe ranljivosti v katalogu CISA KEV, je tveganje za organizacije, ki uporabljajo prizadete različice, konkretno in ne zgolj teoretično. MSP ponudniki in podjetja, ki jim zaupajo upravljanje varnostnega kopiranja, bi morali preveriti, ali njihov ponudnik uporablja prizadeto različico AhsayCBS in ali so popravki že nameščeni.

Priporočeni ukrepi

  • Namestite najnovejše varnostne posodobitve za AhsayCBS, saj so prejšnji popravki veljali za nepopolne.
  • Preverite dnevnike dostopa do končne točke /rps/api/json/UpdateReceivers.do za morebitne sumljive zahteve.
  • Iščite nepričakovane procese ali datoteke, poimenovane po Microsoft Edgu, ki bi lahko prikrivale rudarje kriptovalut XMRig.
  • Preverite prisotnost web shellov na strežnikih, kjer teče AhsayCBS.
  • Omejite omrežni dostop do upravljalnega vmesnika AhsayCBS samo na zaupanja vredne naslove IP.
  • Ponudniki upravljanih storitev naj preverijo vse stranke, ki uporabljajo prizadete različice platforme.

Vprašanja in odgovori

Ali sta ranljivosti že aktivno izkoriščani? Da, obe ranljivosti sta vključeni v katalog CISA Known Exploited Vulnerabilities, kar potrjuje njuno aktivno izkoriščanje.

Kakšne posledice ima uspešen napad? Napadalci lahko s povezavo obeh ranljivosti obidejo avtentikacijo in izvajajo ukaze s pravicami NT AUTHORITY\SYSTEM, kar jim daje popoln nadzor nad prizadetim Windows strežnikom.

Kaj naj storijo uporabniki AhsayCBS? Takoj naj namestijo nove varnostne posodobitve, saj so bile prejšnje izdane kot nepopolne, in preverijo sisteme za znake kompromitacije, kot so web shelli ali nenavadni procesi.

Pogosta vprašanja

Ali sta ranljivosti v AhsayCBS že aktivno izkoriščani?

Da, obe ranljivosti, CVE-2026-105133 in CVE-2026-105134, sta vključeni v katalog CISA Known Exploited Vulnerabilities, kar potrjuje aktivno izkoriščanje.

Kaj napadalci dosežejo s povezavo obeh ranljivosti?

Z verigo obeh ranljivosti lahko obidejo avtentikacijo in izvajajo ukaze s pravicami NT AUTHORITY\SYSTEM, kar jim omogoča popoln nadzor nad prizadetim strežnikom.

Kaj naj naredijo organizacije, ki uporabljajo AhsayCBS?

Nemudoma naj namestijo nove varnostne posodobitve, saj so bile prejšnje izdane kot nepopolne, in preverijo sisteme za morebitne znake kompromitacije.

Sorodne objave

Viri

Časovnica zgodbe

Povezane objave