AhsayCBS: vulnerabilità di command injection CVE-2026-105134 sfruttata per installare una backdoor Python

Cosa è successo

Due vulnerabilità di AhsayCBS, il software di server per il backup di Ahsay, sono pubbliche dal 4 ottobre 2026. Non sono nuove, ma il 14 ottobre 2026 CISA le ha aggiunte al proprio catalogo delle vulnerabilità note sfruttate. Le segnalazioni sugli attacchi descrivono le falle usate per installare una backdoor Python sui server. Ogni server AhsayCBS non aggiornato dalla divulgazione è a rischio.

• CVE-2026-105134 (CVSS 10): un'iniezione di comandi del sistema operativo nel componente Replication Receiver. Gli aggressori inviano un argomento random manipolato a /rps/api/json/UpdateReceivers.do, e l'attacco può essere eseguito da remoto. Esiste un exploit pubblico.
• CVE-2026-105133 (CVSS 7.3): autenticazione non corretta nella funzione checkSysPwd dell'API (com/ahsay/obs/api/ApiStructsAction.java), attivata anch'essa tramite l'argomento random e sfruttabile anch'essa da remoto. Esiste un exploit pubblico.

Secondo le schede CVE, la prima patch non ha risolto completamente il problema, quindi le schede sono state aggiornate successivamente. Le versioni corrette sono ora indicate come 9.15.2.70 e 10.3.4.45.

Chi è interessato

Questo La riguarda se utilizza AhsayCBS in una di queste versioni:

• 9.x fino alla 9.15.2.69 compresa
• 10.x fino alla 10.3.4.44 compresa

Altri prodotti non sono interessati. Se ha installato una patch preliminare per questi CVE ma non è ancora passato alla 9.15.2.70 o alla 10.3.4.45, consideri il server ancora vulnerabile.

Cosa fare ora

1. Verifichi quale versione di AhsayCBS utilizza, nella console di gestione web o nella directory di installazione.
2. Esegua il backup della configurazione di AhsayCBS.
3. Aggiorni alla 9.15.2.70 (ramo 9.x) o alla 10.3.4.45 (ramo 10.x) o successiva. Consulti l'avviso di Ahsay collegato di seguito per i link di download e gli eventuali passaggi aggiuntivi.
4. Riavvii il servizio AhsayCBS e verifichi che backup e replica tornino a funzionare.
5. Finché l'aggiornamento non è installato, blocchi l'accesso alle porte web e API di AhsayCBS da internet, oppure lo limiti a indirizzi IP noti. In particolare, gli endpoint di replica non dovrebbero essere aperti a tutti.
6. Il server potrebbe essere stato attaccato prima dell'aggiornamento, quindi lo controlli per segnali di compromissione come descritto di seguito. Se trova una backdoor, consideri il server compromesso. Lo ricostruisca partendo da uno stato pulito noto e modifichi tutte le password e le credenziali API memorizzate su di esso o da esso utilizzate.

Come verificare se è interessato

• Versione: qualsiasi versione inferiore alla 9.15.2.70 o alla 10.3.4.45 è vulnerabile.
• Log web e di accesso: cerchi richieste a /rps/api/json/UpdateReceivers.do, in particolare da indirizzi IP sconosciuti o con contenuti insoliti nel parametro random. Controlli l'attività a partire dal 4 ottobre 2026 al più tardi.
• Processi e file: cerchi processi Python inattesi, script Python o eseguibili creati di recente e nuove attività pianificate, cron job o servizi sul server AhsayCBS.
• Rete: verifichi la presenza di connessioni in uscita dal server verso host sconosciuti.
• Account: controlli gli account amministratore e utente in AhsayCBS e nel sistema operativo, cercando voci che non ha creato.

CISA non fornisce dettagli sugli attacchi. Per gli indicatori di compromissione, consulti i report di sicurezza collegati di seguito.

Fonti

• https://nvd.nist.gov/vuln/detail/CVE-2026-105133
• https://nvd.nist.gov/vuln/detail/CVE-2026-105134