AhsayCBS: aktif olarak istismar edilen komut enjeksiyonu CVE-2026-105134 bir Python arka kapısını yüklemek için kullanılıyor

Ne oldu

Ahsay'in yedekleme sunucusu yazılımı AhsayCBS'deki iki güvenlik açığı 4 Ekim 2026'dan beri kamuya açıktır. Bunlar yeni değildir, ancak CISA, 14 Ekim 2026'da her ikisini de aktif olarak istismar edilen bilinen güvenlik açıkları kataloğuna ekledi. Saldırılara ilişkin raporlar, bu açıkların sunuculara bir Python arka kapısı yüklemek için kullanıldığını belirtiyor. Açıklama tarihinden beri güncellenmemiş her AhsayCBS sunucusu risk altındadır.

• CVE-2026-105134 (CVSS 10): Replication Receiver bileşeninde bir işletim sistemi komut enjeksiyonu. Saldırganlar /rps/api/json/UpdateReceivers.do adresine manipüle edilmiş bir random argümanı gönderir ve saldırı uzaktan gerçekleştirilebilir. Kamuya açık bir istismar kodu mevcuttur.
• CVE-2026-105133 (CVSS 7.3): API'nin checkSysPwd fonksiyonunda (com/ahsay/obs/api/ApiStructsAction.java) yetersiz kimlik doğrulama. Bu da random argümanı üzerinden tetiklenir ve uzaktan istismar edilebilir. Kamuya açık bir istismar kodu mevcuttur.

CVE kayıtlarına göre ilk yama sorunu tam olarak çözmedi, bu nedenle kayıtlar daha sonra güncellendi. Düzeltilmiş sürümler artık 9.15.2.70 ve 10.3.4.45 olarak belirtilmektedir.

Kimler etkileniyor

AhsayCBS'i aşağıdaki sürümlerden birinde çalıştırıyorsanız etkilenirsiniz:

• 9.x, 9.15.2.69 dahil ve öncesi
• 10.x, 10.3.4.44 dahil ve öncesi

Diğer ürünler etkilenmez. Bu CVE'ler için erken bir yama yüklediyseniz ancak henüz 9.15.2.70 veya 10.3.4.45 sürümüne geçmediyseniz, sunucunuzun hâlâ savunmasız olduğunu varsayın.

Şimdi ne yapmalısınız

1. Web yönetim konsolunda veya kurulum dizininde hangi AhsayCBS sürümünü çalıştırdığınızı kontrol edin.
2. AhsayCBS yapılandırmanızı yedekleyin.
3. 9.15.2.70 (9.x dalı) veya 10.3.4.45 (10.x dalı) ya da daha yeni bir sürüme güncelleyin. İndirme bağlantıları ve varsa ek adımlar için aşağıda bağlantısı verilen Ahsay duyurusunu kontrol edin.
4. AhsayCBS hizmetini yeniden başlatın ve yedeklemelerin ile replikasyonun yeniden çalıştığından emin olun.
5. Güncelleme yüklenene kadar AhsayCBS web ve API portlarına internetten erişimi engelleyin veya erişimi bilinen IP adresleriyle sınırlayın. Özellikle replikasyon uç noktalarının herkese açık olmaması gerekir.
6. Sunucunuz güncellemeden önce saldırıya uğramış olabilir, bu nedenle aşağıda açıklandığı gibi bir ele geçirilme belirtisi olup olmadığını kontrol edin. Bir arka kapı bulursanız sunucuyu ele geçirilmiş kabul edin. Bilinen temiz bir durumdan yeniden kurun ve üzerinde saklanan veya kullanılan tüm parolaları ve API kimlik bilgilerini değiştirin.

Etkilenip etkilenmediğinizi nasıl kontrol edersiniz

• Sürüm: 9.15.2.70 veya 10.3.4.45 sürümünün altındaki her sürüm savunmasızdır.
• Web ve erişim günlükleri: /rps/api/json/UpdateReceivers.do adresine yapılan istekleri arayın, özellikle bilinmeyen IP adreslerinden veya random parametresinde alışılmadık içerik bulunan istekleri. En geç 4 Ekim 2026'dan itibaren yapılan etkinliklere bakın.
• İşlemler ve dosyalar: AhsayCBS sunucusunda beklenmedik Python işlemleri, yakın zamanda oluşturulmuş Python betikleri veya çalıştırılabilir dosyalar ile yeni zamanlanmış görevler, cron işleri veya hizmetler arayın.
• Ağ: sunucudan bilinmeyen ana makinelere giden bağlantıları kontrol edin.
• Hesaplar: AhsayCBS'deki ve işletim sistemindeki yönetici ve kullanıcı hesaplarını, sizin oluşturmadığınız kayıtlar açısından gözden geçirin.

CISA, saldırılara ilişkin ayrıntı vermemektedir. Ele geçirilme göstergeleri için aşağıda bağlantısı verilen güvenlik raporlarına bakın.

Kaynaklar

• https://nvd.nist.gov/vuln/detail/CVE-2026-105133
• https://nvd.nist.gov/vuln/detail/CVE-2026-105134