- 受影响组织的服务器在2026年10月8日至10月11日期间遭到利用，之后Ahsay才发布热修复程序。
- 此次入侵在备份服务器上部署了5个Web Shell家族、2个矿工、隧道工具和一个定制植入程序。
- Ahsay为版本10发布了热修复程序10.3.4.45，为版本7至9发布了9.15.2.70。
Huntress表示，受影响组织的服务器在2026年10月8日至10月11日期间遭到利用，之后Ahsay才发布热修复程序。攻击者利用了CVE-2026-105133，即身份验证绕过漏洞，以及CVE-2026-105134，即未经身份验证即可执行SYSTEM级远程代码。
此次入侵影响了用于存放备份的服务器。攻击者部署了5个Web Shell家族、2个矿工、隧道工具和一个定制植入程序，使运营者能够在管理备份数据的系统上部署多个组件。
AhsayCBS是受影响的备份管理平台。The Hacker News表示，该行动投递了一个基于Python的植入程序，并使用了XMRig矿工，而证据表明，攻击者可能以存放或管理备份的服务器为目标。
CVE-2026-105134支持SYSTEM级远程代码执行
Huntress表示，CVE-2026-105133是身份验证绕过漏洞。CVE-2026-105134可通过/rps/api/json/UpdateReceivers.do，在未经身份验证的情况下以SYSTEM身份执行远程代码。
The Hacker News报道称，这两个漏洞被评估为曾以零日漏洞方式被武器化。该报道称，该托管安全平台最先观察到威胁行为者采用快速入侵方式部署Web Shell和XMRig加密货币矿工。
运营者在备份服务器上使用Shell、矿工和访问工具
Huntress发现了5个Web Shell家族，每个家族的参数和特征各不相同。调查还发现了2种不同的矿工、经过分阶段部署的隧道工具和一个定制植入程序。
The Hacker News表示，攻击链配置了Microsoft Defender排除项，并提供了GOST、Chisel、AnyDesk、Atera和Splashtop。报道称，这些工具被用于建立持久访问。
事件经过
研究人员尚未识别出该恶意软件家族，也未观察到该植入程序运行。它完成回连后的行为仍然未知。
Huntress验证了热修复程序10.3.4.45能够阻断已观察到的入口。Huntress表示，应用热修复程序可以缓解后续风险，但不会移除已经植入受入侵服务器的文件。
Huntress尚未识别出该植入程序的恶意软件家族，也未观察到它运行，因此它完成回连后的行为仍然未知。
防守方现在要做什么
- 从可信备份执行完整重装，并轮换存储在受影响服务器上或可从该服务器访问的凭据，包括保存在AhsayCBS和同一网络中备份软件内的凭据。
常见问题
AhsayCBS发生了什么？
威胁行为者利用CVE-2026-105133和CVE-2026-105134，在热修复程序发布前部署了Web Shell、矿工、隧道工具和一个定制植入程序。
哪些AhsayCBS版本受到影响？
Ahsay为版本10发布了热修复程序10.3.4.45，为版本7至9发布了热修复程序9.15.2.70。
AhsayCBS漏洞是否已在野外遭到利用？
是。Huntress表示，受影响组织的服务器在2026年10月8日至10月11日期间遭到利用，之后Ahsay才发布热修复程序。
AhsayCBS攻击者部署了什么恶意软件？
此次入侵包括5个Web Shell家族、2个矿工和一个定制植入程序。Huntress尚未识别出该植入程序的恶意软件家族，也未观察到它运行。
如何应对受入侵的AhsayCBS服务器？
Huntress建议从可信备份执行完整重装，并轮换存储在服务器上或可从该服务器访问的凭据，包括保存在AhsayCBS和同一网络中备份软件内的凭据。
来源
我们如何核实这篇报道
| 内容 | 来源 | 状态 |
|---|---|---|
| Huntress表示，攻击者利用了CVE-2026-105133，即身份验证绕过漏洞，以及CVE-2026-105134，即未经身份验证即可执行SYSTEM级远程代码。 | Huntress | 已证实 |
| Huntress表示，受影响组织的服务器在2026年10月8日至10月11日期间遭到利用，之后Ahsay才发布热修复程序。 | Huntress | 已证实 |
| Ahsay为版本10发布了热修复程序10.3.4.45，为版本7至9发布了热修复程序9.15.2.70，且Huntress验证了10.3.4.45能够阻断已观察到的入口。 | Huntress | 已证实 |
| Huntress在调查期间发现了5个Web Shell家族。 | Huntress | 已证实 |
| 此次入侵在用于存放备份的服务器上部署了2个矿工、隧道工具和一个定制植入程序。 | Huntress | 已证实 |
| Huntress未识别出该恶意软件家族，也未观察到该植入程序运行，因此它完成回连后的行为仍然未知。 | Huntress | 已证实 |
| Huntress表示，打补丁可以关闭入口，但不会移除已经植入暴露服务器的文件。 | Huntress | 已证实 |
| The Hacker News报道称，此次攻击利用了2个现已修复的AhsayCBS漏洞，投递了一个基于Python的植入程序。 | The Hacker News | 引述 |
| The Hacker News报道称，这2个漏洞被评估为已武器化的零日漏洞，攻击者部署了Web Shell和XMRig矿工。 | The Hacker News | 引述 |
| The Hacker News报道称，Ahsay Backup于2026年10月中旬发布了这2个漏洞的补丁。 | The Hacker News | 引述 |
| The Hacker News报道称，运营者配置了Microsoft Defender排除项，并使用隧道工具和合法远程访问软件建立持久访问。 | The Hacker News | 引述 |
| The Hacker News报道称，证据表明威胁行为者可能以存放或管理备份的服务器为目标。 | The Hacker News | 引述 |
| BleepingComputer报道称，威胁行为者正在利用AhsayCBS的1个严重和1个中危漏洞，而这些漏洞当时仍未修复。 | BleepingComputer | 引述 |
| 恶意软件是有意设计用于扰乱或破坏系统、泄露私人信息、获取未经授权的访问权限，或干扰安全和隐私的软件。 | Wikipedia | 已证实 |
| huntress.com于2026年11月9日发布了其报告。 | huntress.com | 已证实 |
未能核实
- 无法确定这些漏洞是否在2026年10月8日之前遭到利用
- 无法确定有多少台AhsayCBS服务器受到影响
- 无法确定是否从相关Veeam服务器获取了凭据
- 无法确定是否通过Web Shell外传了数据
- 无法确定这2个漏洞是否获得了CVSS评分
延伸阅读
漏洞修补Citrix在漏洞遭利用报告后披露NetScaler零日漏洞
漏洞修补PTC Windchill和FlexPLM漏洞或致远程代码执行
漏洞修补研究员披露漏洞后,N-able使托管N-central下线