Ahsay AhsayCBS: OS Command Injection im Replication Receiver

Zusammenfassung

AhsayCBS, der zentrale Verwaltungsserver für die Backup-Software von Ahsay, enthält eine OS Command Injection im Replication-Receiver-Endpunkt /rps/api/json/UpdateReceivers.do. Ein Angreifer kann über das Argument random Betriebssystembefehle remote ausführen; die Schwachstelle ist mit CVE-2026-105133, einer Authentifizierungsumgehung, verkettet. Die Ausnutzung erfolgt aktiv: Angreifer installieren Webshells und XMRig-Kryptominer, und die CISA führt die Schwachstelle im Katalog der bekannten ausgenutzten Schwachstellen (KEV).

Betroffen

• AhsayCBS bis 9.15.2.69 und 10.3.4.44 gemäss CVE-Beschreibung
• Gemäss Angaben von Ahsay und Sekundärquellen ist auch 10.3.4 betroffen; alle Versionen bis zu den korrigierten Versionen sind als betroffen zu betrachten
• AhsayCBS v7 und v8 sind gemäss der Ahsay-Mitteilung ebenfalls betroffen
• Der betroffene Bereich ist in den Quellen teilweise widersprüchlich

Behoben in

• AhsayCBS v10: Hotfix 10.3.4.45
• AhsayCBS v9 (sowie v7/v8 nach dem Upgrade auf v9): Hotfix 9.15.2.70
• Die früheren Patches 9.15.2.59 und 10.3.4.0 haben die Schwachstelle nicht vollständig behoben
• Die Hotfixes erfordern ein gültiges Konto im Ahsay-Partnerportal
• Den Server nach dem Einspielen des Hotfixes neu starten

Umgehung

• Unbekannt. Die Ahsay-Mitteilung nennt keinen Workaround.
• Den Zugriff auf die AhsayCBS-Weboberfläche und den Replication-Receiver-Endpunkt auf VPN oder vertrauenswürdige IP-Adressen beschränken. Dies ist die wichtigste Massnahme, bis gepatcht wurde.

Ausnutzung

• Bekannt ausgenutzt: Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen.
• Seit dem 7. Oktober 2026 wurden Ausnutzungsversuche mit Remote Code Execution auf betroffenen Systemen beobachtet.
• Verkettet mit CVE-2026-105133 (Authentifizierungsumgehung), die zuerst eingesetzt wird.
• Angreifer installieren Webshells und XMRig-Kryptominer.
• In der CVE-Beschreibung wird ein öffentlicher Exploit erwähnt; öffentlicher Code wurde nicht verifiziert.
• Es wird angenommen, dass keine Authentifizierung erforderlich ist.

Unsere Empfehlung

• Alle AhsayCBS-Instanzen (v7 bis v10) inventarisieren und prüfen, ob sie aus dem Internet erreichbar sind.
• Weboberfläche und Replication-Endpunkte sofort auf VPN oder vertrauenswürdige IP-Adressen beschränken.
• Auf v10.3.4.45 oder v9.15.2.70 aktualisieren; v7 und v8 zuerst auf v9 upgraden. Anschliessend den Server neu starten.
• Auf Kompromittierung prüfen: unerwartete JSP-Dateien unter %CBS%\webapps, unbekannte Replication Receiver, unbekannte AhsayCBS-Administratorkonten und ungewöhnliche Kindprozesse von cbssvcX64.exe.
• Bei Hinweisen auf eine Kompromittierung das Betriebssystem neu installieren, die korrigierte AhsayCBS-Version installieren und eine Konfiguration wiederherstellen, die vor der Kompromittierung erstellt wurde.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  RayanAlmulhim/CVE-2026-105134-lab

Quellen der Recherche

• CVE record (VulDB) vuldb.com
• Ahsay announcement (update on CVE-2026-105133 and CVE-2026-105134) www.ahsay.com
• Ahsay vulnerability status update www.ahsay.com
• Huntress: AhsayCBS flaws exploited www.huntress.com
• CISA Known Exploited Vulnerabilities catalog www.cisa.gov
• Horizon3.ai: CVE-2026-105133 and CVE-2026-105134 horizon3.ai
• Bitdefender technical advisory: AhsayCBS exploitation chain www.bitdefender.com
• GitHub Security Advisory GHSA-mxj3-2x8q-2rh9 github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 13:21.