AhsayCBS Backup Server Schwachstelle ausgenutzt

Eine AhsayCBS Backup Server Schwachstelle wird ausgenutzt, und die Version, zu der alle rieten, behob sie nicht. Huntress beobachtete ab dem 7. Oktober, wie Angreifer zwei Lücken verketten und auf exponierten Ahsay Cloud Backup Servern Code als SYSTEM ausführen. Am 8. Oktober stellte Huntress fest, dass auch 10.3.4 betroffen ist, also die Version, die die öffentlichen CVE-Einträge als behoben ausweisen. Ahsay hat das am 10. Oktober bestätigt und den Hotfix 10.3.4.45 veröffentlicht. Spielen Sie ihn ein und nehmen Sie die Management-Oberfläche aus dem Internet.

Was ist passiert

Die AhsayCBS Backup Server Schwachstelle besteht aus zwei Lücken, die NVD am 4. Oktober als CVE-2026-105133 und CVE-2026-105134 veröffentlichte. Die erste (CVSS v4 5.5) ist eine fehlerhafte Authentifizierung in der Funktion checkSysPwd. Die zweite (CVSS v4 9.3) ist eine OS-Command-Injection im Replication Receiver, erreichbar über /rps/api/json/UpdateReceivers.do; dort genügt wegen eines Authentifizierungs-Bypasses ein zufälliges Token statt gültiger Zugangsdaten. Verkettet ergibt das für einen nicht authentifizierten Angreifer Remote Code Execution als NT AUTHORITY\SYSTEM.

Huntress sah die erste Ausnutzung am 7. Oktober um 23:20 UTC und zählte am 8. Oktober fünf angegriffene Organisationen. Nach der Ausnutzung richten die Angreifer einen bösartigen Receiver ein und legen eine JSP-Web-Shell im ausgelieferten Anwendungsverzeichnis ab. Auf mehreren Hosts lud cbssvcX64.exe anschließend einen Monero-Miner namens edge.exe und eine modifizierte Kopie des Service-Managers NSSM namens msedge.exe herunter, die den Miner als Dienst MicrosoftEdgeUpdateSvc startet. In einem Fall luden die Angreifer zusätzlich den verwundbaren Treiber WinRing0x64.sys, um das Mining zu beschleunigen.

Das eigentliche Problem war der Patch-Stand. Die öffentlichen CVE-Einträge nannten 10.3.4 als behoben. Huntress aktualisierte den Bericht am 8. Oktober: 10.3.4 ist ebenfalls betroffen. Am 10. Oktober bestätigte Ahsay, dass 10.3.4.0 beide Lücken nicht ausreichend behoben hatte, und forderte Partner mit Version 10 auf, den Hotfix 10.3.4.45 einzuspielen und neu zu starten; für die Versionen 7 bis 9 nennt Huntress den Hotfix 9.15.2.70. Huntress verifizierte, dass der Hotfix 10.3.4.45 den Einstiegspunkt der Kette entschärft. Ein Advisory von Ahsay selbst haben wir nicht gesehen. Stand 14. Oktober fanden wir keinen CISA-KEV-Eintrag für eine der beiden CVEs.

Warum das wichtig ist

Der Kryptominer ist nur der sichtbare Teil. Eine Web Shell mit SYSTEM-Rechten auf einem Backup-Server ist ein Brückenkopf auf einer Maschine, die meist Zugangsdaten und Netzwerkzugriff auf alles hält, was sie sichert. Huntress beschreibt AhsayCBS als Management-Konsole, die vor allem Managed Service Provider und Systemhäuser einsetzen; eine kompromittierte Konsole kann also vor den Daten vieler Kunden stehen. Über das Mining hinaus zeigen die Berichte keine weitere Aktivität; der Rest ist unsere Einschätzung.

Für DACH liegen uns keine Daten zur Verbreitung von AhsayCBS vor und keine bekannten deutschen Opfer. Das Muster kennen wir aus der Veeam-Backup-Server-Lücke (CVE-2026-44963), über die wir im Juni berichtet haben: Backup-Infrastruktur liegt außerhalb der Patch- und Monitoring-Routine, und ihre Web-Konsole ist nach unserer Erfahrung oft aus dem Internet erreichbar.

Was Sie jetzt tun sollten

1. Beschränken Sie die AhsayCBS-Web-Konsole und den Replication-Receiver-Endpunkt noch heute: nur vertrauenswürdige IP-Adressen zulassen oder ein VPN verlangen.
2. Prüfen Sie Ihre Version und spielen Sie den Hotfix 10.3.4.45 (Version 10, auch 10.3.4.0) oder 9.15.2.70 (Versionen 7 bis 9) ein, starten Sie neu und verifizieren Sie den laufenden Build. Ein einfaches Update auf 10.3.4.0 ist kein Fix.
3. Suchen Sie nach den bekannten Indikatoren: Kindprozesse von cbssvcX64.exe oder cbssvcX86.exe, unerwartete JSP-Dateien im CBS-Webverzeichnis, einen Dienst namens MicrosoftEdgeUpdateSvc, edge.exe, msedge.exe und Taskgmr.ps1 in Temp-Ordnern, WinRing0x64.sys sowie ausgehenden Verkehr zum Alibaba-Cloud-Speicherhost und zum Mining-Pool auf Port 8029.
4. Der Hotfix entfernt keinen Angreifer, der schon drin ist, führen Sie diese Suche daher zuerst durch. Findet sich ein Indikator, setzen Sie den Host aus einem vertrauenswürdigen Backup neu auf, wie Huntress rät, denn die Angreifer versteckten zusätzliche Hintertüren. Behandeln Sie Zugangsdaten, die auf diesem Server liegen oder von dort erreichbar sind, als kompromittiert.
5. Wenn Sie nicht sicher sagen können, ob Ihre Konsole aus dem Internet erreichbar ist, finden Sie es heute mit einem externen Scan Ihrer eigenen Adressbereiche heraus.

DIESEC Einschätzung

Backup-Konsolen bekommen weniger Aufmerksamkeit als Firewalls und Mailserver, und genau das macht sie attraktiv. Fragen Sie zuerst, wer die Login-Seite aus dem Internet erreichen kann, und erst danach, welche Version Sie betreiben.

Nicht sicher, ob Ihre Backup-Konsole von außen erreichbar ist? Kontaktieren Sie DIESEC für eine schnelle Prüfung der externen Angriffsfläche und eine Kompromittierungsanalyse Ihrer Backup-Infrastruktur.

Quellen: Huntress | NVD CVE-2026-105134 | eSecurity Planet | The Hacker News | BleepingComputer
Veröffentlicht: 2026-10-15 | Kategorie: Tägliche News | ~4 Min. Lesezeit