AhsayCBSバックアップサーバー向けのセキュリティパッチで、現在も悪用されている2件の脆弱性を完全には解消できなかったため、ベンダーは緊急ホットフィックスを発行した。
Ahsay Systemsは2026年10月10日、バージョン10.3.4.0ではCVE-2026-105133およびCVE-2026-105134に十分対処できていなかったことを確認した。同社は、影響を受けるバージョン10のパートナーに対し、ホットフィックス10.3.4.45を適用してサーバーを再起動するよう指示した。
AhsayCBSパッチの失敗が重要な理由
今回の更新失敗は、マネージドサービスプロバイダー（MSP）、システムインテグレーター、そしてバックアップ運用の管理にAhsayCBSを利用する組織に関わる。管理サーバーが侵害されると、その権限やネットワーク接続状況によっては、機密性の高い設定が露出したり、他のシステムへのアクセスを許したりする可能性がある。同様のリスクは、Ciscoのファイアウォール管理システムの脆弱性からも明らかになっている。
Ahsayは10月10日付のセキュリティアドバイザリーで、先のパッチが不十分だったことを認めた。サイバーセキュリティ企業のHuntressはすでに問題を特定しており、10月8日時点で5組織を標的とした攻撃を報告していた。
この数字は標的となった組織の数を示すもので、5件の侵害が確認されたことを必ずしも意味しない。しかし、観測された活動から、攻撃者が実環境で脆弱性を悪用していたことは確認できる。
攻撃者がAhsayCBSの脆弱性を悪用する方法
脆弱性は2026年10月4日に開示された。初期のNational Vulnerability Databaseの記録ではバージョン10.3.4は影響を受けないとされていたが、その後の調査でこの評価は覆された。
CVE-2026-105133は、checkSysPwdAPI機能における不適切な認証の欠陥で、VulDBによるCVSS 4.0のスコアは5.5だった。CVE-2026-105134はReplication Receiverコンポーネントに存在するOSコマンドインジェクションの脆弱性で、評価は9.3だった。
によると、Huntressの技術調査攻撃者は脆弱性を連鎖的に悪用して認証を回避し、リモートからコマンドを実行したうえでNT AUTHORITY\SYSTEM特権を利用していた。研究者が最初に悪用を観測したのは、10月7日23時20分（UTC）だった。
攻撃者はJava Server Pages（JSP）のウェブシェルと、Microsoft Edgeの実行ファイルを装ったXMRig暗号資産マイナーを展開した。また、不正なWindowsサービスを通じて永続化を確立しMicrosoftEdgeUpdateSvc、PowerShellスクリプトを使用してTaskgmr.ps1、タスクマネージャーを開いた際にマイニング活動を隠蔽した。
組織がリスクを軽減する方法
Ahsayの修正用ホットフィックスであるバージョン10.3.4.45は、認証済みのパートナーポータルから入手できる。Ahsayは修正用ホットフィックスをリリースしたものの、確認した情報源には、両方の脆弱性を完全に解消できることを裏付ける独立したテスト結果はなかった。
パッチを適用しても、すでに侵害されたシステムから悪意のある永続化の仕組みを取り除くことはできない。管理者は、侵害されたZimbraサーバーに関わる攻撃が示すように、過去の侵害の可能性を調査し、次の対策を講じるべきだ。
- 修正用ホットフィックスを適用：バージョン10.3.4.45をインストールし、影響を受けるサーバーを再起動して、稼働中のビルドを確認する。
- アクセスを制限・分離：管理インターフェースへのアクセスを信頼できるIPアドレスまたはVPN接続に限定し、バックアップ基盤を分離する。
- レプリケーションとネットワーク活動を監査：不正なレシーバー、設定変更、不審な接続を調査する。
- 侵害の痕跡を探す：によって生成された異常なプロセス、
cbssvcX64.exeJSPウェブシェル、見慣れないサービスを調べる。対処する前にフォレンジック証拠を保全する。 - 認証情報と復旧システムを保護：侵害が疑われる場合は、漏えいした可能性のある認証情報を更新し、バックアップの完全性を確認して、侵害が確認されたホストを信頼できるバックアップから再構築する。
- インシデント対応計画をテスト：封じ込め手順を実行し、復元能力を検証して、攻撃者による永続化の仕組みをチームが排除できることを確認する。
Huntressは、調査を支援するため、4件のSigma検知ルールと侵害の痕跡（IOC）も公開した。
バックアップセキュリティをめぐる大きな問題
Huntressはウェブシェルの展開と暗号資産マイニングを記録したが、調査したインシデントでランサムウェアの展開やバックアップデータの窃取が確認されたとは報告していない。それでも、集中管理されたバックアップ基盤が侵害されれば、組織の復旧能力が脅かされる可能性がある。
信頼できる復旧能力を維持するには、パッチを適用した基盤と信頼できるバックアップの両方が必要だ。組織は、修正アップデートの前に攻撃者がアクセス権を保持していたかどうかも判断しなければならない。
詳しく読む：連邦当局による新たに公開された脆弱性の迅速な悪用への警告は、組織が対策を完了する前に攻撃者が露出したシステムをいかに迅速に標的にできるかを浮き彫りにしている。