Kelemahan AhsayCBS CVE-2026-105133 dan 105134 dieksploitasi untuk webshell dan perlombongan

Apa yang berlaku

Pada 4 Oktober 2026, NVD menerbitkan dua kelemahan dalam AhsayCBS (Cloud Backup Server), konsol pengurusan perisian sandaran Ahsay yang banyak digunakan oleh penyedia perkhidmatan terurus (MSP) dan penyepadu sistem: CVE-2026-105133 dan CVE-2026-105134. Dalam beberapa hari, kedua-duanya sudah dieksploitasi secara aktif.

Menurut syarikat keselamatan Huntress, eksploitasi bermula pada 7 Oktober, 23:20 UTC (8 Oktober, 08:20 JST). Sehingga 8 Oktober, Huntress melihat lima organisasi disasarkan.

Dua kelemahan

• CVE-2026-105133 (sederhana): pengesahan tidak betul dalam fungsi checkSysPwd (ApiStructsAction.java).
• CVE-2026-105134 (kritikal): pada titik akhir /rps/api/json/UpdateReceivers.do komponen Replication Receiver, pintasan pengesahan membolehkan pelaksanaan kod jauh tanpa pengesahan sebagai NT AUTHORITY\SYSTEM.

Penyerang merantaikan kedua-duanya: yang pertama memintas pengesahan, yang kedua melaksanakan kod. Kemudian mereka mengkonfigurasi "receiver" berniat jahat dan meletakkan webshell JSP dalam direktori yang dihidangkan aplikasi.

Tindakan penyerang selepas itu

Huntress melaporkan:

• webshell JSP sejurus selepas eksploitasi;
• muat turun melalui curl dan certutil daripada baldi Alibaba Cloud OSS;
• pelombong XMRig dinamakan semula edge.exe, serta salinan NSSM diubah suai bernama msedge.exe, berjalan sebagai perkhidmatan palsu MicrosoftEdgeUpdateSvc dengan keistimewaan SYSTEM;
• skrip PowerShell (Taskgmr.ps1) yang kelihatan ditulis dengan bantuan AI, yang menjeda perlombongan apabila Task Manager dibuka;
• dalam satu kes, pemacu terdedah WinRing0x64.sys untuk memberi pelombong akses perkakasan peringkat kernel.

Pembaikan masih rumit

Huntress mengemas kini laporannya pada 8 Oktober: versi 10.3.4 juga terdedah, bertentangan dengan laporan awal. Dalam amaran 10 Oktober, Ahsay menyatakan 10.3.4.0 tidak membaiki sepenuhnya dan mengesyorkan hotfix 10.3.4.45 (diedarkan kepada rakan kongsi) serta but semula pelayan. Sentiasa semak halaman rasmi sebelum bertindak.

Apa perlu dibuat sekarang (senarai semak)

1. Inventori: semak sama ada anda atau MSP anda menggunakan AhsayCBS.
2. Hadkan akses: konsol pengurusan tidak patut terdedah ke internet. Benarkan IP dipercayai sahaja atau wajibkan VPN.
3. Pasang hotfix yang disyorkan dan but semula.
4. Cari tanda pencerobohan: proses anak luar jangka daripada cbssvcX64.exe, edge.exe/msedge.exe dalam folder Temp, perkhidmatan MicrosoftEdgeUpdateSvc, sambungan ke port 8029 dan muat turun WinRing0. Huntress menerbitkan peraturan Sigma dan IOC.
5. Jika ada tanda, pasang semula hos daripada imej dipercayai: mungkin ada pintu belakang lain.
6. Uji pemulihan: pelayan sandaran yang terjejas mengancam barisan pertahanan terakhir anda terhadap ransomware.

Mengapa penting untuk PKS

Pelayan sandaran berada di kedudukan istimewa: ia mencapai data banyak pelanggan dan biasanya berjalan dengan keistimewaan tinggi. Apabila MSP diserang, semua pelanggannya terdedah. Kali ini matlamatnya melombong kripto, tetapi akses yang sama boleh digunakan untuk mencuri data atau memadam sandaran sebelum serangan ransomware.

Sumber

• Huntress (8 Okt 2026): https://www.huntress.com/blog/ahsaycbs-flaws-exploit
• Pengumuman tampalan Ahsay: https://www.ahsay.com/en/company/announcements/patch-cve-105133-105134
• BleepingComputer: https://www.bleepingcomputer.com/news/security/unpatched-ahsaycbs-flaws-exploited-to-deploy-webshells-mine-crypto/
• SecurityWeek: https://www.securityweek.com/unpatched-ahsaycbs-vulnerabilities-exploited-in-the-wild/

---

Mahu menyemak keselamatan sandaran atau MSP anda? KGA IT menawarkan konsultasi percuma: kga-it.com.