AhsayCBS-Schwachstellen erfordern nach Angriffen neue Updates vom Typ hotfix
Für die AhsayCBS-Schwachstellen CVE-2026-105133 und CVE-2026-105134 wurden neue Ersatz-Updates vom Typ hotfix veröffentlicht, nachdem Angreifer die Sicherheitslücken ausgenutzt hatten, um web shell-Dateien und XMRig-Mining-Software zu installieren. Ein web shell ist eine schädliche Datei oder ein schädliches Programm, das einem Angreifer über einen Webserver Fernzugriff gewährt. XMRig ist eine Software, die die Rechenressourcen eines kompromittierten Systems zur Erzeugung von Kryptowährung nutzt. Ahsay Backup, der in Singapur ansässige Entwickler von AhsayCBS, veröffentlichte die neuen Updates, nachdem das Unternehmen bestätigt hatte, dass seine früheren Patches die Schwachstellen nicht vollständig behoben hatten.
Die beiden Schwachstellen lassen sich miteinander verketten, sodass ein Angreifer sie als aufeinanderfolgende Schritte bei einem einzigen Eindringen kombinieren kann. Zusammen ermöglichen sie es, die authentication zu umgehen und arbitrary commands auf einem betroffenen Server auszuführen. authentication ist die Prüfung, bei der ein Benutzer normalerweise seine Identität nachweisen muss. Die Ausführung von arbitrary commands bedeutet, dass ein Angreifer das System dazu bringen kann, von ihm ausgewählte Vorgänge auszuführen. Huntress berichtete Anfang dieses Monats, dass Angreifer die Schwachstellen kombiniert hätten, um remote code execution ohne vorherige authentication zu erreichen. Dadurch lässt sich ein System über ein Netzwerk kontrollieren, ohne sich zuerst anzumelden.
Huntress erklärte, beobachtet zu haben, wie Angreifer diesen Zugriff nutzten, um web shell-Dateien und Kryptowährungs-Mining-Software auf exponierten Systemen bereitzustellen. Die web shell-Dateien könnten einen dauerhaften Zugangsweg zu kompromittierten Servern schaffen, während die XMRig-Installationen diese Systeme zum Mining von Kryptowährung einsetzten. Der Bericht nennt keine bestimmte Angreifergruppe. Für Organisationen, die AhsayCBS betreiben, ist entscheidend, dass die Ausnutzung tatsächlich beobachtet wurde und nicht nur eine theoretische Möglichkeit blieb.
Die im August 2026 veröffentlichten AhsayCBS-Versionen 9.15.2.59 und 10.3.4.0 sollten die Schwachstellen ursprünglich beheben. Ahsay Backup hat inzwischen bestätigt, dass diese Patches die Sicherheitslücken nicht vollständig geschlossen haben. Systeme mit diesen Versionen dürfen daher nicht allein deshalb als geschützt gelten, weil die August-Updates installiert wurden. Administratoren müssen den genauen installierten Build prüfen, statt sich lediglich darauf zu verlassen, dass bereits ein früheres Sicherheitsupdate eingespielt wurde.
Die Ersatzlösungen sind AhsayCBS v10.3.4.45 hotfix und AhsayCBS v9.15.2.70 hotfix. Ein hotfix ist ein gezieltes Softwareupdate, das ein bestimmtes Problem schnell beheben soll, ohne auf ein umfassenderes Release zu warten. Ahsay Backup forderte Kunden aufgrund der Schwere des Risikos und der Notwendigkeit, Kundendaten zu schützen, zu sofortigem Handeln auf. Das Unternehmen wies Administratoren außerdem an, den Server nach der Installation des passenden hotfix neu zu starten. Damit ist der Neustart ein vorgeschriebener Bestandteil des Update-Prozesses und kein optionaler nachträglicher Schritt.
Huntress testete den AhsayCBS 10.3.4.45 hotfix unabhängig und berichtete, dass er den ersten Einstiegspunkt der attack chain blockiert. Laut Huntress war dieser Einstiegspunkt in früheren Releases der Version 10 weiterhin anfällig gewesen. Die von Huntress angegebene Überprüfung bezieht sich ausdrücklich auf den 10.3.4.45 hotfix und den ersten Zugangsweg in die attack chain. Die verfügbaren Informationen beschreiben keine entsprechende unabhängige Prüfung des 9.15.2.70 hotfix.
Das Einspielen des Updates verhindert den bekannten ersten Zugangsweg. Durch das Update allein lässt sich jedoch nicht feststellen, ob ein Server bereits kompromittiert wurde, bevor die Korrektur installiert war. Da Huntress die Bereitstellung von web shell-Dateien und Mining-Software beobachtete, sollten Betreiber exponierter AhsayCBS-Systeme das Einspielen des Patches und die Prüfung auf ein früheres Eindringen als getrennte Aufgaben behandeln. Websitebetreiber oder Unternehmen, die den Server nicht selbst verwalten, sollten ihren Hosting- oder IT-Anbieter bitten, die installierte Version zu bestätigen, den Neustart abzuschließen und das System auf unbekannte Dateien oder Mining-Software zu untersuchen.
Die aktiven Angriffe veranlassten die als CISA bekannte U.S. Cybersecurity and Infrastructure Security Agency dazu, beide Schwachstellen in ihren Known Exploited Vulnerabilities catalog aufzunehmen. Dieser häufig mit KEV abgekürzte Katalog führt Sicherheitslücken auf, die nachweislich bei echten Angriffen ausgenutzt wurden. US-Bundesbehörden müssen die Korrekturen bis zum 17. Oktober 2026 installieren. Diese Frist gilt für diese Behörden, das zugrunde liegende Ausnutzungsrisiko betrifft jedoch auch andere Organisationen, die betroffene Systeme betreiben.
Für Hosting-Anbieter und Unternehmen erfordert ein anfälliges Backup-Management-System rasche Aufmerksamkeit, weil es einen aus der Ferne erreichbaren Administrationsdienst offenlegen und Kundendaten enthalten kann, zu deren Schutz der Anbieter seine Nutzer aufgefordert hat. Administratoren sollten sowohl die Installation des hotfix als auch den vorgeschriebenen Neustart überprüfen. Hinweise auf ein web shell oder Mining-Software sollten als Anzeichen für eine mögliche Kompromittierung und nicht als gewöhnlicher Softwarefehler behandelt werden.
Organisationen, die bei einer solchen Systemreaktion externe Hilfe benötigen, können AEU-I in Betracht ziehen. Das Unternehmen bietet IT, Infrastruktur und Beratung mit konsequentem Sicherheitsfokus. Für jeden Betreiber von AhsayCBS bleibt die unmittelbare Priorität, den richtigen Ersatz-hotfix zu installieren, den Server neu zu starten und zu prüfen, ob auf das System zugegriffen wurde, bevor es gepatcht war.