To sårbarheter i AhsayCBS, en plattform for administrasjon av sikkerhetskopiering, blir aktivt utnyttet til å installere webshells og kryptominere. Sikkerhetsfirmaet Huntress observerte angrep fra 7. oktober 2026 og rapporterte innen 8. oktober at fem organisasjoner var blitt målrettet. Ifølge Huntress gjelder sårbarhetene versjoner til og med 10.3.2, mens versjon 10.3.4 er oppgitt som upåvirket. Administratorer bør kontrollere versjonen sin og begrense eksponeringen av administrasjonsgrensesnittet.
To sårbarheter blir brukt sammen
Angrepene utnytter CVE-2026-105133 og CVE-2026-105134. Den første svakheten kan omgå autentisering, mens den andre kan gi angriperen mulighet til å kjøre operativsystemkommandoer på serveren. Huntress beskriver hvordan angriperne kjeder sårbarhetene: Først skaffer de seg tilgang uten gyldig innlogging, deretter oppnår de kodekjøring.
Den kritiske sårbarheten CVE-2026-105134 ligger i Replication Receiver-komponenten. Ifølge Huntress kan den utnyttes uten autentisering til å kjøre kode med rettighetene NT AUTHORITY\SYSTEM på vertsmaskinen. Det gir angriperen svært omfattende kontroll over den kompromitterte Windows-serveren.
AhsayCBS – Cloud Backup Server – brukes blant annet av managed service providers (MSP-er) og systemintegratorer til å administrere sikkerhetskopier, brukere og backup-policyer. En kompromittert administrasjonsserver kan derfor få konsekvenser utover én enkelt maskin.
Webshells og kryptominere etter innbruddet
Etter å ha fått tilgang har angriperne ifølge Huntress lagt inn JSP-baserte webshells i applikasjonskatalogen. En webshell gir angriperen en vedvarende kanal for å kjøre kommandoer på den kompromitterte serveren.
Forskerne observerte også kryptomining med XMRig. Miner-programmet ble gitt et navn som ligner Microsoft Edge, og angriperne opprettet en Windows-tjeneste med et navn som etterligner Edge sin oppdateringstjeneste. Dette er forsøk på å skjule den uønskede aktiviteten blant legitime prosesser.
Huntress fant dessuten et PowerShell-skript som forsøkte å skjule mining ved å stoppe tjenesten når Oppgavebehandling var åpen, og starte den igjen når vinduet ble lukket. Aktiviteten viser at et innbrudd ikke nødvendigvis stopper når angriperen har fått første tilgang – det kan følges av utholdenhetsmekanismer og skjult ressursmisbruk.
Hvilke versjoner er berørt?
Huntress opplyser at sårbarhetene gjelder AhsayCBS-versjoner til og med 10.3.2, og at versjon 10.3.4 ikke er berørt. NVD-oppføringene for begge CVE-ene viser også 10.3.4 som en versjon som løser problemene.
Det er likevel viktig å kontrollere nøyaktig versjon og følge med på Ahsays egne sikkerhetsmeldinger. Hvis du kjører en berørt versjon, oppgrader til 10.3.4 eller en nyere versjon som leverandøren bekrefter er sikker.
Dette bør administratorer gjøre nå
- Begrens tilgangen umiddelbart. Ikke la administrasjonsgrensesnittet være åpent mot hele internett. Begrens tilgangen til betrodde IP-adresser eller krev VPN.
- Undersøk tegn på kompromittering. Se etter uventede JSP-filer i applikasjonskatalogen, uvanlige underprosesser fra AhsayCBS-tjenesten, ukjente Windows-tjenester og mistenkelig PowerShell-aktivitet.
- Kontroller sikkerhetskopiene. Verifiser at backup-jobber, lagrede kopier og gjenopprettingspunkter fortsatt er intakte og ikke kan endres av den kompromitterte serveren.
- Oppgrader berørte versjoner. Huntress og NVD oppgir at AhsayCBS 10.3.4 løser sårbarhetene. Følg Ahsays offisielle sikkerhetsmeldinger for eventuelle senere oppdateringer, og begrens tilgang mens du planlegger oppgraderingen.
- Ved bekreftet innbrudd: isoler og gjenopprett trygt. Huntress anbefaler å bygge verten opp på nytt fra et kjent rent grunnlag dersom kompromittering er påvist, fordi ekstra bakdører kan være lagt igjen.
Huntress har også publisert indikatorer på kompromittering og Sigma-regler som sikkerhetsteam kan bruke til å lete etter aktivitet knyttet til kampanjen.
Hvorfor dette er viktig
Backup-systemer er attraktive mål fordi de ofte har tilgang til kritiske data og driftes sentralt. Hvis selve administrasjonsplattformen kompromitteres, kan angriperen få et fotfeste i infrastrukturen som skal beskytte virksomhetens data. Derfor bør AhsayCBS-installasjoner prioriteres for umiddelbar eksponeringskontroll og grundig gjennomgang.
Networlds anbefaling: Hvis virksomheten bruker AhsayCBS, begrens administrasjonsgrensesnittet til betrodde nettverk, undersøk logger og systemer for tegn på innbrudd, og oppgrader berørte versjoner til 10.3.4 eller en nyere versjon som Ahsay bekrefter er sikker. Huntress og NVD oppgir at 10.3.4 ikke er berørt av disse to sårbarhetene.
