Ein Sicherheits-Patch für AhsayCBS-Backup-Server konnte zwei aktiv ausgenutzte Schwachstellen nicht vollständig beheben und veranlasste den Anbieter, einen Notfall-Hotfix herauszugeben.
Ahsay Systems bestätigte am 10. Oktober 2026, dass Version 10.3.4.0 CVE-2026-105133 und CVE-2026-105134 nicht ausreichend behoben hatte. Das Unternehmen wies betroffene Partner mit Version 10 an, den Hotfix 10.3.4.45 zu installieren und ihre Server neu zu starten.
Warum der fehlgeschlagene AhsayCBS-Patch relevant ist
Das fehlgeschlagene Update betrifft Managed Service Provider (MSPs), Systemintegratoren und Unternehmen, die AhsayCBS zur Verwaltung ihrer Backup-Prozesse einsetzen. Kompromittierte Management-Server können vertrauliche Konfigurationen offenlegen oder je nach Berechtigungen und Netzwerkanbindung Zugriff auf andere Systeme ermöglichen. Ähnliche Risiken sind durch Schwachstellen in Cisco-Firewall-Managementsystemen entstanden.
In seiner Sicherheitswarnung vom 10. Oktober räumte Ahsay ein, dass der frühere Patch unzureichend war. Das Cybersicherheitsunternehmen Huntress hatte das Problem bereits identifiziert und am 8. Oktober über Angriffe auf fünf Unternehmen berichtet.
Die Zahl steht für angegriffene Unternehmen, nicht zwangsläufig für fünf bestätigte Sicherheitsverletzungen. Die beobachteten Aktivitäten bestätigen jedoch, dass Angreifer die Schwachstellen in realen Umgebungen ausnutzten.
So nutzen Angreifer die AhsayCBS-Schwachstellen aus
Die Schwachstellen wurden am 4. Oktober 2026 offengelegt. Erste Einträge in der National Vulnerability Database stuften Version 10.3.4 als nicht betroffen ein, doch spätere Untersuchungen widersprachen dieser Einschätzung.
CVE-2026-105133 ist eine Schwachstelle durch fehlerhafte Authentifizierung in dercheckSysPwd API-Funktion, der VulDB einen CVSS-4,0-Wert von 5,5 zuwies. CVE-2026-105134 ist eine Schwachstelle durch Einschleusen von Betriebssystembefehlen in der Komponente Replication Receiver und wurde mit 9,3 bewertet.
Laut der technischen Untersuchung von Huntress verketteten Angreifer die Schwachstellen, um die Authentifizierung zu umgehen und Befehle aus der Ferne mitNT AUTHORITY\SYSTEM Berechtigungen auszuführen. Forscher beobachteten die Ausnutzung erstmals am 7. Oktober um 23:20 UTC.
Angreifer setzten Java Server Pages (JSP)-Webshells und als Microsoft-Edge-Programme getarnte XMRig-Kryptowährungs-Miner ein. Außerdem stellten sie über einen betrügerischen Windows-Dienst, MicrosoftEdgeUpdateSvc, Persistenz her und verwendeten ein PowerShell-Skript, Taskgmr.ps1, um die Mining-Aktivitäten beim Öffnen des Task-Managers zu verbergen.
So können Unternehmen das Risiko mindern
Ahsays korrigierender Hotfix, Version 10.3.4.45, ist über das authentifizierte Partnerportal verfügbar. Ahsay hat den korrigierenden Hotfix veröffentlicht, allerdings lagen in den geprüften Quellen keine unabhängigen Tests vor, die bestätigten, dass er beide Schwachstellen vollständig behebt.
Ein Patch kann bösartige Persistenz nicht von bereits kompromittierten Systemen entfernen. Administratoren sollten frühere Zugriffe untersuchen, wie Angriffe unter Einbeziehung kompromittierter Zimbra-Server zeigen, und die folgenden Maßnahmen ergreifen:
- Den korrigierenden Hotfix anwenden: Version 10.3.4.45 installieren, betroffene Server neu starten und den laufenden Build überprüfen.
- Zugriff beschränken und segmentieren: Management-Schnittstellen auf vertrauenswürdige IP-Adressen oder VPN-Verbindungen beschränken und die Backup-Infrastruktur isolieren.
- Replikations- und Netzwerkaktivitäten überprüfen: Nicht autorisierte Receiver, Konfigurationsänderungen und verdächtige Verbindungen untersuchen.
- Nach einer Kompromittierung suchen: Ungewöhnliche Prozesse untersuchen, die von
cbssvcX64.exe, JSP-Webshells und unbekannten Diensten gestartet wurden. Forensische Beweise vor der Behebung sichern. - Zugangsdaten und Wiederherstellungssysteme absichern: Bei Verdacht auf eine Kompromittierung potenziell offengelegte Zugangsdaten ändern, die Integrität der Backups überprüfen und nachweislich kompromittierte Hosts aus vertrauenswürdigen Backups neu aufbauen.
- Pläne zur Reaktion auf Sicherheitsvorfälle testen: Eindämmungsverfahren durchführen, Wiederherstellungsfähigkeiten validieren und bestätigen, dass die Teams die Persistenz der Angreifer beseitigen können.
Huntress veröffentlichte außerdem vier Sigma-Erkennungsregeln und Indicators of Compromise zur Unterstützung von Untersuchungen.
Das größere Bild der Backup-Sicherheit
Huntress dokumentierte die Bereitstellung von Webshells und das Mining von Kryptowährungen, berichtete jedoch bei den untersuchten Vorfällen weder über die Verbreitung von Ransomware noch über den bestätigten Diebstahl von Backup-Daten. Dennoch kann die Kompromittierung einer zentralisierten Backup-Infrastruktur die Wiederherstellungsfähigkeit eines Unternehmens gefährden.
Die Aufrechterhaltung zuverlässiger Wiederherstellungsfähigkeiten erfordert sowohl gepatchte Infrastruktur als auch vertrauenswürdige Backups. Unternehmen müssen außerdem feststellen, ob Angreifer vor dem korrigierenden Update weiterhin Zugriff hatten.
Mehr dazu: Warnungen des Bundes zur schnellen Ausnutzung neu offengelegter Schwachstellen zeigen, wie schnell Angreifer ungeschützte Systeme ins Visier nehmen können, bevor Unternehmen die Behebung abschließen.