Mga kahinaan ng AhsayCBS CVE-2026-105133 at 105134, inaabuso para sa webshell at pagmimina

Ano ang nangyari

Noong Oktubre 4, 2026, inilathala ng NVD ang dalawang kahinaan sa AhsayCBS (Cloud Backup Server), ang management console ng backup software ng Ahsay na malawak na ginagamit ng mga managed service provider (MSP) at system integrator: CVE-2026-105133 at CVE-2026-105134. Sa loob lamang ng ilang araw, aktibo na itong inaabuso.

Ayon sa security firm na Huntress, nagsimula ang pag-atake noong Oktubre 7, 23:20 UTC (Oktubre 8, 08:20 JST). Pagsapit ng Oktubre 8, limang organisasyon na ang tinarget.

Ang dalawang kahinaan

• CVE-2026-105133 (katamtaman): maling authentication sa function na checkSysPwd (ApiStructsAction.java).
• CVE-2026-105134 (kritikal): sa endpoint na /rps/api/json/UpdateReceivers.do ng Replication Receiver, may authentication bypass na nagpapahintulot ng remote code execution nang walang authentication bilang NT AUTHORITY\SYSTEM.

Pinagsasama ito ng mga umaatake: ang una para lampasan ang authentication, ang ikalawa para magpatakbo ng code. Pagkatapos ay nagse-set up sila ng mapanganib na "receiver" at naglalagay ng JSP webshell sa direktoryong sine-serve ng application.

Ang ginawa ng mga umaatake pagkatapos

Iniulat ng Huntress:

• JSP webshell agad pagkatapos ng pagpasok;
• pag-download gamit ang curl at certutil mula sa isang Alibaba Cloud OSS bucket;
• ang miner na XMRig na pinalitan ng pangalang edge.exe, at binagong NSSM na msedge.exe, na tumatakbo bilang pekeng serbisyong MicrosoftEdgeUpdateSvc na may SYSTEM privilege;
• isang PowerShell script (Taskgmr.ps1) na mukhang ginawa sa tulong ng AI, na humihinto sa pagmimina kapag binuksan ang Task Manager;
• sa isang kaso, ang vulnerable driver na WinRing0x64.sys para bigyan ang miner ng kernel-level na access sa hardware.

Maselan pa rin ang pag-aayos

In-update ng Huntress ang ulat noong Oktubre 8: bulnerable din ang 10.3.4, taliwas sa mga unang ulat. Sa alerto noong Oktubre 10, sinabi ng Ahsay na hindi ganap na naayos ng 10.3.4.0 ang problema at inirerekomenda ang hotfix 10.3.4.45 (ibinibigay sa mga partner) at pag-reboot ng server. Laging tingnan ang opisyal na pahina bago kumilos.

Ano ang gagawin ngayon (checklist)

1. Imbentaryo: alamin kung gumagamit ka o ang iyong MSP ng AhsayCBS.
2. Limitahan ang access: huwag ilantad sa internet ang management console. Pinagkakatiwalaang IP lang o VPN.
3. I-apply ang hotfix at i-reboot.
4. Hanapin ang mga palatandaan: di-inaasahang child process ng cbssvcX64.exe, edge.exe/msedge.exe sa Temp, serbisyong MicrosoftEdgeUpdateSvc, koneksyon sa port 8029, at pag-download ng WinRing0. Naglabas ang Huntress ng Sigma rules at IOC.
5. Kung may palatandaan, i-reimage ang host mula sa pinagkakatiwalaang image: maaaring may iba pang backdoor.
6. Subukan ang restore: ang nakompromisong backup server ay nagbabanta sa huling depensa mo laban sa ransomware.

Bakit mahalaga ito sa mga SME

Nasa pribilehiyadong posisyon ang mga backup server: naaabot nila ang data ng maraming kliyente at karaniwang mataas ang pahintulot. Kapag tinamaan ang MSP, lantad ang lahat ng kliyente nito. Pagmimina ng crypto ang layunin ngayon, pero ang parehong access ay magagamit para magnakaw ng data o magbura ng backup bago ang ransomware.

Mga pinagmulan

• Huntress (Okt 8, 2026): https://www.huntress.com/blog/ahsaycbs-flaws-exploit
• Anunsyo ng Ahsay: https://www.ahsay.com/en/company/announcements/patch-cve-105133-105134
• BleepingComputer: https://www.bleepingcomputer.com/news/security/unpatched-ahsaycbs-flaws-exploited-to-deploy-webshells-mine-crypto/
• SecurityWeek: https://www.securityweek.com/unpatched-ahsaycbs-vulnerabilities-exploited-in-the-wild/

---

Gusto mo bang suriin ang seguridad ng iyong backup o MSP? Nag-aalok ang KGA IT ng libreng konsultasyon: kga-it.com.