发生了什么
2026 年 10 月 4 日,NVD 公布了 Ahsay 备份软件管理控制台 AhsayCBS(Cloud Backup Server)的两个漏洞:CVE-2026-105133 和 CVE-2026-105134。AhsayCBS 被 托管服务提供商(MSP) 和系统集成商广泛使用。公布仅数天后,漏洞就遭到实际利用。
据安全公司 Huntress 称,利用始于 10 月 7 日 23:20 UTC(日本时间 10 月 8 日 08:20),截至 10 月 8 日已有 五家组织 成为目标。
两个漏洞
- CVE-2026-105133(中危):
checkSysPwd函数(ApiStructsAction.java)认证不当。 - CVE-2026-105134(严重):Replication Receiver 组件的
/rps/api/json/UpdateReceivers.do存在认证绕过,可 无需认证以 NT AUTHORITY\SYSTEM 权限远程执行代码。
攻击者将两者串联:先绕过认证,再执行代码。随后配置恶意 receiver,并在应用对外提供的目录中放置 JSP Webshell。
入侵后的行为
Huntress 观察到:
- 入侵后立即部署 JSP Webshell;
- 用
curl和certutil从阿里云 OSS 存储桶下载文件; - 将挖矿程序 XMRig 改名为
edge.exe,并把修改过的 NSSM 命名为msedge.exe,以伪造服务MicrosoftEdgeUpdateSvc的 SYSTEM 权限运行; - 一个疑似借助 AI 编写的 PowerShell 脚本(
Taskgmr.ps1),在任务管理器打开时暂停挖矿; - 在一个案例中使用存在漏洞的驱动 WinRing0x64.sys,让挖矿程序获得内核级硬件访问。
修复仍需谨慎
Huntress 于 10 月 8 日更新报告:与早期说法不同,10.3.4 版本同样受影响。Ahsay 在 10 月 10 日的警报中表示 10.3.4.0 未能完全修复,建议安装向合作伙伴提供的 热修复 10.3.4.45 并 重启 服务器。行动前请务必查看官方页面。
现在该做什么(清单)
- 盘点: 确认贵公司或您的 MSP 是否使用 AhsayCBS。
- 限制访问: 管理控制台不应暴露在互联网上,只允许可信 IP 或强制使用 VPN。
- 安装推荐的热修复 并重启。
- 排查入侵迹象:
cbssvcX64.exe的异常子进程、Temp 目录中的edge.exe/msedge.exe、MicrosoftEdgeUpdateSvc服务、8029 端口连接以及WinRing0下载。Huntress 已发布 Sigma 规则和 IOC。 - 如发现迹象,请重装主机:攻击者可能留下了其他后门。
- 测试恢复: 被攻陷的备份服务器会威胁您抵御勒索软件的最后一道防线。
对中小企业的意义
备份服务器处于特权位置:可访问众多客户的数据,且通常以高权限运行。一旦 MSP 被攻破,其所有客户都会暴露。这次的目的是挖矿,但同样的访问权限也可用于窃取数据或在勒索攻击前删除备份。
来源
- Huntress(2026 年 10 月 8 日):https://www.huntress.com/blog/ahsaycbs-flaws-exploit
- Ahsay 补丁公告:https://www.ahsay.com/en/company/announcements/patch-cve-105133-105134
- BleepingComputer:https://www.bleepingcomputer.com/news/security/unpatched-ahsaycbs-flaws-exploited-to-deploy-webshells-mine-crypto/
- SecurityWeek:https://www.securityweek.com/unpatched-ahsaycbs-vulnerabilities-exploited-in-the-wild/
想检查您的备份或 MSP 的安全性吗?KGA IT 提供免费咨询:kga-it.com