AhsayCBS: ausgenutzte Command Injection CVE-2026-105134 zum Einschleusen einer Python-Backdoor

Was passiert ist

Zwei Schwachstellen in AhsayCBS, der Backup-Server-Software von Ahsay, sind seit dem 4. Oktober 2026 öffentlich bekannt. Sie sind nicht neu, doch CISA hat beide am 14. Oktober 2026 in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen. Berichte über die Angriffe beschreiben, dass die Schwachstellen genutzt werden, um eine Python-Backdoor auf Servern zu installieren. Jeder AhsayCBS-Server, der seit der Veröffentlichung nicht aktualisiert wurde, ist gefährdet.

• CVE-2026-105134 (CVSS 10): eine OS-Command-Injection in der Komponente Replication Receiver. Angreifer senden ein manipuliertes Argument random an /rps/api/json/UpdateReceivers.do, und der Angriff kann aus der Ferne ausgeführt werden. Ein öffentlicher Exploit existiert.
• CVE-2026-105133 (CVSS 7.3): unzureichende Authentifizierung in der Funktion checkSysPwd der API (com/ahsay/obs/api/ApiStructsAction.java), ebenfalls über das Argument random ausgelöst und ebenfalls aus der Ferne ausnutzbar. Ein öffentlicher Exploit existiert.

Laut den CVE-Einträgen hat der erste Patch das Problem nicht vollständig behoben, weshalb die Einträge anschließend aktualisiert wurden. Die behobenen Versionen lauten nun 9.15.2.70 und 10.3.4.45.

Wer betroffen ist

Sie sind betroffen, wenn Sie AhsayCBS in einer dieser Versionen betreiben:

• 9.x bis einschließlich 9.15.2.69
• 10.x bis einschließlich 10.3.4.44

Andere Produkte sind nicht betroffen. Falls Sie einen frühen Patch für diese CVEs installiert haben, aber noch nicht auf 9.15.2.70 oder 10.3.4.45 sind, gehen Sie davon aus, dass Ihr Server weiterhin verwundbar ist.

Was Sie jetzt tun sollten

1. Prüfen Sie, welche AhsayCBS-Version Sie betreiben, entweder in der webbasierten Verwaltungskonsole oder im Installationsverzeichnis.
2. Sichern Sie Ihre AhsayCBS-Konfiguration.
3. Aktualisieren Sie auf 9.15.2.70 (Zweig 9.x) oder 10.3.4.45 (Zweig 10.x) oder eine neuere Version. Prüfen Sie das unten verlinkte Advisory von Ahsay auf Download-Links und zusätzliche Schritte.
4. Starten Sie den AhsayCBS-Dienst neu und stellen Sie sicher, dass Backups und Replikation wieder funktionieren.
5. Blockieren Sie bis zur Installation des Updates den Zugriff auf die Web- und API-Ports von AhsayCBS aus dem Internet oder beschränken Sie ihn auf bekannte IP-Adressen. Insbesondere Replikations-Endpunkte sollten nicht für alle offen sein.
6. Ihr Server wurde unter Umständen vor dem Update angegriffen. Prüfen Sie ihn daher wie unten beschrieben auf Anzeichen einer Kompromittierung. Falls Sie eine Backdoor finden, behandeln Sie den Server als kompromittiert. Bauen Sie ihn aus einem bekannt sauberen Zustand neu auf und ändern Sie alle Passwörter und API-Zugangsdaten, die auf dem Server gespeichert sind oder von ihm verwendet werden.

So prüfen Sie, ob Sie betroffen sind

• Version: Jede Version unterhalb von 9.15.2.70 oder 10.3.4.45 ist verwundbar.
• Web- und Zugriffsprotokolle: Suchen Sie nach Anfragen an /rps/api/json/UpdateReceivers.do, besonders von unbekannten IP-Adressen oder mit ungewöhnlichem Inhalt im Parameter random. Prüfen Sie Aktivitäten seit spätestens 4. Oktober 2026.
• Prozesse und Dateien: Suchen Sie auf dem AhsayCBS-Server nach unerwarteten Python-Prozessen, kürzlich erstellten Python-Skripten oder ausführbaren Dateien sowie neuen geplanten Aufgaben, Cron-Jobs oder Diensten.
• Netzwerk: Prüfen Sie auf ausgehende Verbindungen vom Server zu unbekannten Hosts.
• Konten: Überprüfen Sie die Administrator- und Benutzerkonten in AhsayCBS und im Betriebssystem auf Einträge, die Sie nicht angelegt haben.

CISA gibt keine Details zu den Angriffen preis. Hinweise auf Kompromittierung finden Sie in den unten verlinkten Sicherheitsberichten.

Quellen

• https://nvd.nist.gov/vuln/detail/CVE-2026-105133
• https://nvd.nist.gov/vuln/detail/CVE-2026-105134