Bỏ qua tới nội dung
K
KGAIT Solutions
Quay lại danh sách bài viết
security4 min

Lỗ hổng AhsayCBS CVE-2026-105133 và 105134 bị khai thác để cài webshell và đào coin

AhsayCBS flaws CVE-2026-105133 and 105134 exploited for webshells and cryptomining

KGA IT2026-10-12Cập nhật:4 min
SecurityAhsayCBSCVE-2026-105134BackupMSPVulnerabilityCryptomining
Capa: AhsayCBS, falhas CVE-2026-105133 e CVE-2026-105134 exploradas

Chuyện gì đã xảy ra

Ngày 4/10/2026, NVD công bố hai lỗ hổng trong AhsayCBS (Cloud Backup Server), bảng điều khiển quản lý phần mềm sao lưu của Ahsay, được các nhà cung cấp dịch vụ được quản lý (MSP) và nhà tích hợp hệ thống sử dụng rộng rãi: CVE-2026-105133 và CVE-2026-105134. Chỉ vài ngày sau, chúng đã bị khai thác thực tế.

Theo công ty bảo mật Huntress, việc khai thác bắt đầu lúc 23:20 UTC ngày 7/10 (08:20 JST ngày 8/10). Đến ngày 8/10, Huntress ghi nhận năm tổ chức bị nhắm tới.

Hai lỗ hổng

  • CVE-2026-105133 (trung bình): xác thực không đúng trong hàm checkSysPwd (ApiStructsAction.java).
  • CVE-2026-105134 (nghiêm trọng): tại endpoint /rps/api/json/UpdateReceivers.do của thành phần Replication Receiver, lỗi bỏ qua xác thực cho phép thực thi mã từ xa không cần xác thực với quyền NT AUTHORITY\SYSTEM.

Kẻ tấn công xâu chuỗi hai lỗi: lỗi đầu để vượt qua xác thực, lỗi sau để chạy mã. Sau đó chúng cấu hình một "receiver" độc hại và cài webshell JSP vào thư mục mà ứng dụng phục vụ.

Hành vi sau xâm nhập

Huntress mô tả:

  • webshell JSP ngay sau khi khai thác;
  • tải tệp bằng curl và certutil từ một bucket Alibaba Cloud OSS;
  • trình đào XMRig đổi tên thành edge.exe, cùng bản NSSM sửa đổi tên msedge.exe, chạy dưới dạng dịch vụ giả MicrosoftEdgeUpdateSvc với quyền SYSTEM;
  • một script PowerShell (Taskgmr.ps1) có vẻ được viết với sự hỗ trợ của AI, tạm dừng đào khi Task Manager được mở;
  • trong một trường hợp, driver dễ bị tấn công WinRing0x64.sys để cho trình đào quyền truy cập phần cứng cấp kernel.

Bản vá vẫn cần thận trọng

Ngày 8/10, Huntress cập nhật báo cáo: phiên bản 10.3.4 cũng bị ảnh hưởng, trái với thông tin ban đầu. Trong cảnh báo ngày 10/10, Ahsay cho biết 10.3.4.0 chưa khắc phục hoàn toàn và khuyến nghị áp dụng hotfix 10.3.4.45 (phân phối cho đối tác) rồi khởi động lại máy chủ. Hãy luôn kiểm tra trang chính thức trước khi hành động.

Việc cần làm ngay (danh sách)

  1. Kiểm kê: xác định bạn hoặc MSP của bạn có dùng AhsayCBS không.
  2. Hạn chế truy cập: không để bảng điều khiển lộ ra internet. Chỉ cho phép IP tin cậy hoặc bắt buộc VPN.
  3. Áp dụng hotfix được khuyến nghị và khởi động lại.
  4. Tìm dấu hiệu xâm nhập: tiến trình con bất thường của cbssvcX64.exe, edge.exe/msedge.exe trong thư mục Temp, dịch vụ MicrosoftEdgeUpdateSvc, kết nối cổng 8029 và việc tải WinRing0. Huntress đã công bố quy tắc Sigma và IOC.
  5. Nếu có dấu hiệu, cài lại máy chủ từ ảnh tin cậy: có thể còn cửa hậu khác.
  6. Thử khôi phục: máy chủ sao lưu bị xâm nhập đe dọa tuyến phòng thủ cuối cùng của bạn trước ransomware.

Vì sao điều này quan trọng với SME

Máy chủ sao lưu nằm ở vị trí đặc quyền: truy cập dữ liệu của nhiều khách hàng và thường chạy với quyền cao. Khi MSP bị tấn công, mọi khách hàng đều bị lộ. Lần này mục tiêu là đào tiền mã hóa, nhưng cùng quyền truy cập đó có thể dùng để đánh cắp dữ liệu hoặc xóa bản sao lưu trước một cuộc tấn công ransomware.

Nguồn

Bạn muốn rà soát bảo mật sao lưu hoặc MSP của mình? KGA IT cung cấp tư vấn miễn phí: kga-it.com.

Bài viết trướcBài viết tiếp theo

Cùng giải quyết các thách thức kỹ thuật của bạn.

KGA IT Solutions có đội ngũ chuyên gia AI, cloud và DevOps mang lại giải pháp tối ưu cho thách thức của bạn.

Liên hệ