何が起きたのか
2026年10月4日、NVD は Ahsay のバックアップソフトの管理コンソール AhsayCBS(Cloud Backup Server)に関する2件の脆弱性、CVE-2026-105133 と CVE-2026-105134 を公開しました。AhsayCBS は マネージドサービスプロバイダー(MSP) やシステムインテグレーターに広く使われています。公開から数日で、実際の攻撃に悪用され始めました。
セキュリティ企業 Huntress によると、悪用は 10月7日 23:20 UTC(日本時間10月8日 8:20) に始まり、10月8日までに 5つの組織 が標的になりました。
2つの脆弱性
- CVE-2026-105133(中):
checkSysPwd関数(ApiStructsAction.java)における不適切な認証。 - CVE-2026-105134(緊急):Replication Receiver コンポーネントの
/rps/api/json/UpdateReceivers.doに認証回避があり、認証なしで NT AUTHORITY\SYSTEM 権限のリモートコード実行 が可能。
攻撃者は2つを連鎖させ、前者で認証を回避し、後者でコードを実行します。その後、悪意ある receiver を設定し、アプリが配信するディレクトリに JSP Webシェル を設置します。
侵入後の行動
Huntress の報告では:
- 侵入直後の JSP Webシェル 設置
curlとcertutilで Alibaba Cloud OSS のバケットからファイルをダウンロードedge.exeに名前を変えたマイナー XMRig と、msedge.exeという改変版 NSSM を、偽サービスMicrosoftEdgeUpdateSvcとして SYSTEM 権限で常駐- AI の支援で書かれたとみられる PowerShell スクリプト(
Taskgmr.ps1)が、タスクマネージャーが開かれるとマイニングを一時停止 - 1件では脆弱なドライバー WinRing0x64.sys を使い、マイナーにカーネルレベルのハードウェアアクセスを付与
修正はまだ注意が必要
Huntress は10月8日に報告を更新し、当初の情報とは異なり 10.3.4 も脆弱 だとしました。Ahsay は10月10日のアラートで、10.3.4.0 では 完全には修正されていない とし、パートナー向けの ホットフィックス 10.3.4.45 の適用と 再起動 を推奨しています。対応の前に必ず公式ページを確認してください。
今すぐやること(チェックリスト)
- 棚卸し: 自社や委託先 MSP が AhsayCBS を使っているか確認する。
- アクセス制限: 管理コンソールをインターネットに公開しない。信頼できる IP のみ、または VPN 必須に。
- 推奨ホットフィックスを適用 し再起動する。
- 侵害の痕跡を調査:
cbssvcX64.exeの想定外の子プロセス、Temp フォルダーのedge.exe/msedge.exe、MicrosoftEdgeUpdateSvcサービス、ポート 8029 への通信、WinRing0のダウンロード。Huntress は Sigma ルールと IOC を公開しています。 - 痕跡があればホストを再構築: 別のバックドアが残っている可能性があります。
- リストアをテスト: 侵害されたバックアップサーバーは、ランサムウェアに対する最後の防衛線を危険にさらします。
中小企業にとっての意味
バックアップサーバーは多くの顧客データにアクセスでき、高い権限で動くことが多い特権的な存在です。MSP が攻撃されれば、その顧客全員が危険にさらされます。今回の目的は暗号資産のマイニングでしたが、同じアクセスでデータ窃取やランサムウェア前のバックアップ削除も可能です。
出典
- Huntress(2026年10月8日):https://www.huntress.com/blog/ahsaycbs-flaws-exploit
- Ahsay のパッチ告知:https://www.ahsay.com/en/company/announcements/patch-cve-105133-105134
- BleepingComputer:https://www.bleepingcomputer.com/news/security/unpatched-ahsaycbs-flaws-exploited-to-deploy-webshells-mine-crypto/
- SecurityWeek:https://www.securityweek.com/unpatched-ahsaycbs-vulnerabilities-exploited-in-the-wild/
バックアップや委託先 MSP のセキュリティを見直しませんか?KGA IT は無料相談を受け付けています:kga-it.com