AhsayCBS: actief misbruikte command injection CVE-2026-105134 gebruikt om Python-backdoor te plaatsen

Wat er is gebeurd

Twee kwetsbaarheden in AhsayCBS, de backupserversoftware van Ahsay, zijn sinds 4 oktober 2026 openbaar. Ze zijn niet nieuw, maar CISA heeft beide op 14 oktober 2026 toegevoegd aan de catalogus van bekende actief misbruikte kwetsbaarheden. Rapporten over de aanvallen beschrijven dat de kwetsbaarheden worden gebruikt om een Python-backdoor op servers te installeren. Elke AhsayCBS-server die sinds de openbaarmaking niet is bijgewerkt, loopt risico.

• CVE-2026-105134 (CVSS 10): een OS command injection in de componen Replication Receiver. Aanvallers sturen een gemanipuleerd random-argument naar /rps/api/json/UpdateReceivers.do, en de aanval kan op afstand worden uitgevoerd. Er bestaat een openbare exploit.
• CVE-2026-105133 (CVSS 7.3): onjuiste authenticatie in de functie checkSysPwd van de API (com/ahsay/obs/api/ApiStructsAction.java), eveneens geactiveerd via het random-argument en op afstand uit te buiten. Er bestaat een openbare exploit.

Volgens de CVE-vermeldingen loste de eerste patch het probleem niet volledig op, daarom zijn de vermeldingen achteraf bijgewerkt. De opgeloste versies zijn nu 9.15.2.70 en 10.3.4.45.

Wie is getroffen

U bent getroffen als u AhsayCBS draait in een van deze versies:

• 9.x tot en met 9.15.2.69
• 10.x tot en met 10.3.4.44

Andere producten zijn niet getroffen. Als u een vroege patch voor deze CVE's heeft geïnstalleerd maar nog niet op 9.15.2.70 of 10.3.4.45 zit, ga er dan van uit dat uw server nog kwetsbaar is.

Wat u nu moet doen

1. Controleer welke AhsayCBS-versie u draait, via de webbeheerconsole of in de installatiemap.
2. Maak een back-up van uw AhsayCBS-configuratie.
3. Update naar 9.15.2.70 (9.x-tak) of 10.3.4.45 (10.x-tak) of later. Raadpleeg het hieronder gekoppelde advies van Ahsay voor downloadlinks en eventuele extra stappen.
4. Herstart de AhsayCBS-service en controleer of back-ups en replicatie weer werken.
5. Blokkeer totdat de update is geïnstalleerd de toegang tot de AhsayCBS-web- en API-poorten vanaf internet, of beperk deze tot bekende IP-adressen. Met name replicatie-eindpunten mogen niet voor iedereen open staan.
6. Uw server kan al aangevallen zijn voordat u heeft bijgewerkt, controleer deze daarom op sporen van een compromittering zoals hieronder beschreven. Als u een backdoor vindt, beschouw de server dan als gecompromitteerd. Herbouw deze vanuit een bekende schone staat en wijzig alle wachtwoorden en API-inloggegevens die op de server zijn opgeslagen of door de server worden gebruikt.

Hoe u controleert of u getroffen bent

• Versie: elke versie lager dan 9.15.2.70 of 10.3.4.45 is kwetsbaar.
• Web- en toegangslogs: zoek naar verzoeken aan /rps/api/json/UpdateReceivers.do, vooral van onbekende IP-adressen of met ongewone inhoud in de parameter random. Kijk naar activiteit vanaf 4 oktober 2026 op zijn vroegst.
• Processen en bestanden: let op onverwachte Python-processen, recent aangemaakte Python-scripts of uitvoerbare bestanden, en nieuwe geplande taken, cron-jobs of services op de AhsayCBS-server.
• Netwerk: controleer op uitgaande verbindingen van de server naar onbekende hosts.
• Accounts: controleer de beheerders- en gebruikersaccounts in AhsayCBS en op het besturingssysteem op vermeldingen die u niet heeft aangemaakt.

CISA geeft geen details over de aanvallen. Voor indicatoren van compromittering raadpleegt u de hieronder gekoppelde beveiligingsrapporten.

Bronnen

• https://nvd.nist.gov/vuln/detail/CVE-2026-105133
• https://nvd.nist.gov/vuln/detail/CVE-2026-105134