Dobësitë e AhsayCBS sjellin hotfix të rinj pas sulmeve
Dobësitë e AhsayCBS CVE-2026-105133 dhe CVE-2026-105134 kanë marrë hotfix zëvendësues pasi sulmuesit i shfrytëzuan këto dobësi për të instaluar web shell dhe miner XMRig për kriptomonedha. Një web shell është një skedar ose program keqdashës që i jep sulmuesit kontroll në distancë përmes një web server. XMRig është software që përdor burimet kompjuterike të një sistemi të komprometuar për të gjeneruar kriptomonedha. Ahsay Backup, zhvilluesi me seli në Singapor i AhsayCBS, publikoi përditësimet e reja pasi konfirmoi se patch e mëparshme nuk i kishin zgjidhur plotësisht dobësitë.
Dy dobësitë mund të bashkohen, që do të thotë se një sulmues mund t’i kombinojë si hapa të njëpasnjëshëm në të njëjtin depërtim. Së bashku, ato lejojnë anashkalimin e authentication dhe ekzekutimin e arbitrary commands në një server të prekur. Authentication është kontrolli që normalisht kërkon nga përdoruesi të provojë identitetin, ndërsa arbitrary command execution do të thotë se sulmuesi mund ta detyrojë sistemin të kryejë veprime të zgjedhura prej tij. Huntress raportoi në fillim të këtij muaji se aktorët keqdashës i kishin kombinuar dobësitë për të realizuar remote code execution pa authentication, pra aftësinë për të kontrolluar një sistem përmes një rrjeti pa u identifikuar më parë.
Huntress tha se vëzhgoi sulmues që e përdornin këtë akses për të vendosur web shell dhe miner kriptomonedhash në sistemet e ekspozuara. Web shell mund të siguronin një rrugë të vazhdueshme hyrjeje në serverët e komprometuar, ndërsa instalimet e XMRig i vinin këto sisteme në punë për nxjerrjen e kriptomonedhave. Raporti nuk identifikon ndonjë grup kërcënues me emër. Për organizatat që përdorin AhsayCBS, pika e rëndësishme është se shfrytëzimi është vërejtur në praktikë dhe nuk ka mbetur thjesht një mundësi teorike.
Fillimisht besohej se versionet AhsayCBS 9.15.2.59 dhe 10.3.4.0, të publikuara në gusht 2026, i trajtonin këto dobësi. Ahsay Backup ka konfirmuar më pas se ato patch nuk i mbyllnin plotësisht dobësitë. Prandaj, sistemet që përdorin këto versione nuk duhet të konsiderohen të mbrojtura vetëm sepse janë instaluar përditësimet e gushtit. Administratorët duhet të kontrollojnë build e saktë të instaluar dhe të mos mbështeten vetëm te fakti se është aplikuar një përditësim i mëparshëm sigurie.
Rregullimet zëvendësuese janë AhsayCBS v10.3.4.45 hotfix dhe AhsayCBS v9.15.2.70 hotfix. Një hotfix është një përditësim i fokusuar software, i synuar për të korrigjuar një problem specifik pa pritur një version më të gjerë. Ahsay Backup u kërkoi klientëve të veprojnë menjëherë për shkak të seriozitetit të rrezikut dhe nevojës për të mbrojtur të dhënat e klientëve. Kompania gjithashtu i udhëzoi administratorët ta rinisin serverin pas aplikimit të hotfix përkatës, duke e bërë rinisjen pjesë të detyrueshme të procesit të përditësimit dhe jo një hap vijues opsional.
Huntress testoi në mënyrë të pavarur AhsayCBS 10.3.4.45 hotfix dhe raportoi se ai bllokon entry point fillestar të përdorur nga attack chain. Sipas Huntress, ky entry point kishte mbetur i cenueshëm në publikimet e mëparshme të versionit 10. Verifikimi i deklaruar prej saj zbatohet posaçërisht për 10.3.4.45 hotfix dhe për rrugën fillestare të hyrjes në attack chain. Informacioni i disponueshëm nuk përshkruan testim të pavarur të barasvlershëm për 9.15.2.70 hotfix.
Aplikimi i përditësimit parandalon rrugën e njohur të aksesit fillestar, por vetëm përditësimi nuk përcakton nëse një server ishte komprometuar përpara instalimit të rregullimit. Meqë Huntress vëzhgoi vendosjen e web shell dhe software për nxjerrjen e kriptomonedhave, operatorët e sistemeve AhsayCBS të ekspozuara duhet ta trajtojnë instalimin e patch dhe kontrollin për një depërtim të mëparshëm si detyra të veçanta. Pronarët e faqeve ose bizneset që nuk e administrojnë vetë serverin duhet t’i kërkojnë ofruesit të hosting ose IT që të konfirmojë versionin e instaluar, të përfundojë rinisjen dhe të kontrollojë sistemin për skedarë të panjohur ose software për nxjerrjen e kriptomonedhave.
Sulmet aktive e shtynë Agjencinë e Sigurisë Kibernetike dhe të Infrastrukturës të SHBA-së, e njohur si CISA, t’i shtojë të dyja dobësitë në katalogun e saj Known Exploited Vulnerabilities. Ky katalog, që zakonisht shkurtohet KEV, rendit dobësitë e sigurisë për të cilat dihet se janë përdorur në sulme reale. Agjencive federale të SHBA-së u kërkohet t’i aplikojnë rregullimet deri më 17 tetor 2026. Ky afat vlen për ato agjenci, por rreziku themelor i shfrytëzimit është gjithashtu i rëndësishëm për organizatat e tjera që përdorin sisteme të prekura.
Për ofruesit e hosting dhe bizneset, një sistem i cenueshëm për menaxhimin e backup kërkon vëmendje të shpejtë, sepse mund të ekspozojë një shërbim administrativ të arritshëm në distancë dhe mund të përmbajë të dhëna klientësh që ofruesi u ka kërkuar përdoruesve t’i mbrojnë. Administratorët duhet të verifikojnë si instalimin e hotfix, ashtu edhe rinisjen e kërkuar, ndërsa çdo shenjë e një web shell ose miner duhet të trajtohet si provë e një komprometimi të mundshëm dhe jo si një defekt i zakonshëm software.
Organizatat që kanë nevojë për ndihmë të jashtme për këtë lloj reagimi ndaj incidenteve të sistemeve mund të marrin në konsideratë AEU-I, e cila ofron IT, infrastrukturë dhe konsulencë me sigurinë si përparësi. Përparësia e menjëhershme për çdo operator të AhsayCBS mbetet instalimi i hotfix zëvendësues të saktë, rinisja e serverit dhe kontrolli nëse sistemi është aksesuar përpara instalimit të patch.