AhsayCBS: utnyttet kommandoinjeksjon CVE-2026-105134 brukt til å installere Python-bakdør

Hva skjedde

To sårbarheter i AhsayCBS, backup-serverprogramvaren fra Ahsay, har vært offentlig kjent siden 4. oktober 2026. De er ikke nye, men CISA la begge til i sin katalog over kjente utnyttede sårbarheter 14. oktober 2026. Rapporter om angrepene beskriver at sårbarhetene brukes til å installere en Python-bakdør på servere. Enhver AhsayCBS-server som ikke er oppdatert siden offentliggjøringen, er i fare.

• CVE-2026-105134 (CVSS 10): en OS-kommandoinjeksjon i komponenten Replication Receiver. Angripere sender et manipulert random-argument til /rps/api/json/UpdateReceivers.do, og angrepet kan kjøres eksternt. Et offentlig exploit finnes.
• CVE-2026-105133 (CVSS 7.3): feil autentisering i funksjonen checkSysPwd i API-et (com/ahsay/obs/api/ApiStructsAction.java), også utløst via random-argumentet og også eksternt utnyttbar. Et offentlig exploit finnes.

Ifølge CVE-oppføringene løste ikke den første oppdateringen problemet fullt ut, så oppføringene ble oppdatert etterpå. De rettede versjonene oppgis nå som 9.15.2.70 og 10.3.4.45.

Hvem er berørt

Du er berørt hvis du kjører AhsayCBS i en av disse versjonene:

• 9.x opp til og med 9.15.2.69
• 10.x opp til og med 10.3.4.44

Andre produkter er ikke berørt. Hvis du installerte en tidlig oppdatering for disse CVE-ene, men ikke er på 9.15.2.70 eller 10.3.4.45 ennå, må du regne med at serveren fortsatt er sårbar.

Hva du bør gjøre nå

1. Sjekk hvilken AhsayCBS-versjon du kjører, enten i webadministrasjonskonsollen eller i installasjonskatalogen.
2. Ta backup av AhsayCBS-konfigurasjonen din.
3. Oppdater til 9.15.2.70 (9.x-grenen) eller 10.3.4.45 (10.x-grenen) eller nyere. Sjekk Ahsays sikkerhetsvarsel lenket nedenfor for nedlastingslenker og eventuelle ekstra steg.
4. Start AhsayCBS-tjenesten på nytt, og sørg for at backup og replikering fungerer igjen.
5. Inntil oppdateringen er installert, blokker tilgang til AhsayCBS-webporter og API-porter fra internett, eller begrens den til kjente IP-adresser. Replikeringsendepunkter bør særlig ikke være åpne for alle.
6. Serveren din kan ha blitt angrepet før du oppdaterte, så sjekk den for tegn på kompromittering som beskrevet nedenfor. Hvis du finner en bakdør, må du behandle serveren som kompromittert. Bygg den på nytt fra en kjent ren tilstand, og endre alle passord og API-legitimasjon som er lagret på den eller brukes av den.

Slik sjekker du om du er berørt

• Versjon: enhver versjon under 9.15.2.70 eller 10.3.4.45 er sårbar.
• Web- og tilgangslogger: søk etter forespørsler til /rps/api/json/UpdateReceivers.do, særlig fra ukjente IP-adresser eller med uvanlig innhold i random-parameteren. Se på aktivitet fra 4. oktober 2026 i det minste.
• Prosesser og filer: se etter uventede Python-prosesser, nylig opprettede Python-skript eller kjørbare filer, og nye planlagte oppgaver, cron-jobber eller tjenester på AhsayCBS-serveren.
• Nettverk: sjekk for utgående forbindelser fra serveren til ukjente verter.
• Kontoer: gå gjennom administrator- og brukerkontoene i AhsayCBS og i operativsystemet for oppføringer du ikke opprettet.

CISA gir ikke detaljer om angrepene. For indikatorer på kompromittering, se sikkerhetsrapportene lenket nedenfor.

Kilder

• https://nvd.nist.gov/vuln/detail/CVE-2026-105133
• https://nvd.nist.gov/vuln/detail/CVE-2026-105134