Ahsay AhsayCBS: Unzureichende Authentifizierung in der API

Zusammenfassung

AhsayCBS, die Verwaltungskonsole der Ahsay-Backup-Software, die hauptsächlich von MSPs und Systemintegratoren eingesetzt wird, enthält eine unzureichende Authentifizierung in der API-Komponente (checkSysPwd). Ein Angreifer aus dem Netzwerk kann ohne Anmeldung die Passwortprüfung umgehen und JSON-API-Aktionen erreichen. Die Schwachstelle wird aktiv ausgenutzt und ist mit CVE-2026-105134 verkettet, einer Command Injection im Betriebssystem, die zur Codeausführung als SYSTEM oder root führen kann und Zugriff auf Backup-Daten und Wiederherstellungsfunktionen ermöglicht.

Betroffen

• AhsayCBS bis 9.15.2.69 und 10.3.4.44 (NVD-Beschreibung)
• Huntress meldet, dass 10.3.4 weiterhin verwundbar war
• Genaue betroffene Builds von v7 und v8: Unbekannt. Vor der Annahme, dass eine Version sicher ist, bei Ahsay nachfragen.

Behoben in

• AhsayCBS v10: Hotfix 10.3.4.45 (Anmeldung im Partnerportal erforderlich)
• AhsayCBS v9: Hotfix 9.15.2.70 (Anmeldung im Partnerportal erforderlich)
• AhsayCBS v7 und v8: zuerst auf v9.15.0.0 aktualisieren, danach 9.15.2.70 installieren
• Die früheren Patches (v10.3.4.0 und v9.15.2.59) haben das Problem nicht vollständig behoben

Umgehung

• Verwaltungsoberfläche im Web nur für vertrauenswürdige IP-Adressen freigeben oder den Zugriff ausschliesslich über VPN erlauben
• Keine weitere offizielle Massnahme bekannt

Ausnutzung

• Wird aktiv ausgenutzt; Huntress beobachtete Angriffe ab dem 7. Oktober 2026
• Öffentlich verfügbarer Proof of Concept vorhanden
• Seit dem 14. Oktober 2026 im Katalog der CISA Known Exploited Vulnerabilities gelistet
• Angreifer setzten JSP-Webshells und XMRig-Miner ein

Unsere Empfehlung

• Alle AhsayCBS-Instanzen finden, auch jene, die von einem MSP betrieben werden
• Direkten Internetzugriff auf die Verwaltungsoberfläche sofort entfernen oder auf VPN bzw. vertrauenswürdige IP-Adressen beschränken
• Den passenden Hotfix installieren und den Server neu starten
• Nach unerwarteten .jsp-Dateien unter %CBS%\webapps, unbekannten Replication Receivers und unbekannten Administratorkonten suchen
• War ein Server exponiert, von einer Kompromittierung ausgehen und eine Neuinstallation des Betriebssystems, von AhsayCBS und des Hotfixes in Betracht ziehen
• Zugangsdaten rotieren, die auf dem Backup-Server gespeichert sind oder von dort aus zugänglich sind

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  horizon3ai/AhsayCBS-Auth-Bypass-RCE

Quellen der Recherche

• Ahsay: Update on CVE-2026-105133 and CVE-2026-105134 patch www.ahsay.com
• Huntress: AhsayCBS flaws exploited in the wild www.huntress.com
• CISA Known Exploited Vulnerabilities Catalog www.cisa.gov
• Horizon3.ai: CVE-2026-105133 and CVE-2026-105134 horizon3.ai
• Horizon3.ai: Technical analysis of AhsayCBS CVE-2026-105133 and CVE-2026-105134 horizon3.ai
• VulDB: CVE-2026-105133 vuldb.com
• Rapid7: CVE-2026-105133 www.rapid7.com
• Tenable: CVE-2026-105133 www.tenable.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 13:45.