// AI 威脅新聞台 · 2026年11月15日
首頁/CVE · 漏洞修補
漏洞修補高CVECVSS 未有評分

AhsayCBS漏洞遭利用部署網頁殼及挖礦程式

受影響機構的伺服器於2026年10月8日至10月11日期間遭利用，當時Ahsay尚未發布熱修補程式。Huntress於2026年11月9日披露調查結果。

· 閱讀 2 分鐘
AI 生成圖像，非事件現場相片
AI 生成圖像，非事件現場相片。
重點
  • 受影響機構的伺服器於2026年10月8日至10月11日期間遭利用，當時Ahsay尚未發布熱修補程式。
  • 入侵在備份伺服器部署了5個網頁殼家族、2種挖礦程式、隧道工具及一個自訂植入程式。
  • Ahsay為第10版發布10.3.4.45熱修補程式，並為第7至第9版發布9.15.2.70熱修補程式。

Huntress表示，受影響機構的伺服器於2026年10月8日至10月11日期間遭利用，當時Ahsay尚未發布熱修補程式。攻擊者利用CVE-2026-105133，即繞過驗證漏洞，以及CVE-2026-105134，即未經驗證即可取得SYSTEM權限的遠程程式碼執行漏洞。

入侵蔓延至用於存放備份的伺服器。攻擊者部署了5個網頁殼家族、2種挖礦程式、隧道工具及一個自訂植入程式，使操作者可在管理備份數據的系統上使用多個組件。

AhsayCBS是受影響的備份管理平台。The Hacker News表示，該攻擊活動投放了以Python為基礎的植入程式，並使用XMRig挖礦程式，而證據顯示，涉事者可能以存放或管理備份的伺服器為目標。

本文目錄

CVE-2026-105134可取得SYSTEM權限執行遠程程式碼

Huntress表示，CVE-2026-105133屬繞過驗證漏洞。CVE-2026-105134則可透過/rps/api/json/UpdateReceivers.do，在未經驗證的情況下以SYSTEM權限執行遠程程式碼。

The Hacker News報道，兩個漏洞被評估為曾以零日漏洞方式被武器化。報道指，該管理式安全平台最先觀察到威脅行為者採取快速掠奪方式，部署網頁殼及XMRig加密貨幣挖礦程式。

操作者在備份伺服器使用網頁殼、挖礦程式及存取工具

Huntress發現5個網頁殼家族，各自具有不同參數及特徵。調查亦發現2種不同的挖礦程式、已準備的隧道工具及一個自訂植入程式。

The Hacker News表示，攻擊鏈設定Microsoft Defender排除項目，並投放GOST、Chisel、AnyDesk、Atera及Splashtop。報道指，這些工具用於建立持久存取權限。

事件經過

研究人員尚未識別該惡意軟件家族，亦未觀察到植入程式運行。它完成回報後的行為仍然未知。

Huntress證實10.3.4.45可阻截已觀察到的入侵入口。Huntress表示，套用熱修補程式可減輕日後的問題，但無法移除已植入受入侵伺服器的檔案。

Huntress尚未識別該植入程式的惡意軟件家族，亦未觀察到它運行，因此它完成回報後的行為仍然未知。

防守方現在要做甚麼

  1. 從可信備份進行完整重新映像，並輪換儲存在受影響伺服器上或可從該伺服器連接取得的憑證，包括儲存在AhsayCBS及同一網絡上的備份軟件內的憑證。

常見問題

AhsayCBS發生甚麼事？

威脅行動者利用CVE-2026-105133及CVE-2026-105134，在熱修補程式發布前部署網頁殼、挖礦程式、隧道工具及一個自訂植入程式。

哪些AhsayCBS版本受影響？

Ahsay為第10版發布10.3.4.45熱修補程式，並為第7至第9版發布9.15.2.70熱修補程式。

AhsayCBS漏洞是否已在野外遭利用？

是。Huntress表示，受影響機構的伺服器於2026年10月8日至10月11日期間遭利用，當時Ahsay尚未發布熱修補程式。

AhsayCBS攻擊者部署了甚麼惡意軟件？

入侵涉及5個網頁殼家族、2種挖礦程式及一個自訂植入程式。Huntress尚未識別該植入程式的惡意軟件家族，亦未觀察到它運行。

如何應對遭入侵的AhsayCBS伺服器？

Huntress建議從可信備份進行完整重新映像，並輪換儲存在伺服器上或可從該伺服器連接取得的憑證，包括儲存在AhsayCBS及同一網絡上的備份軟件內的憑證。

來源

  1. Inside an AhsayCBS Intrusion: Hidden Webshells, a CryptoMiner, and a C2 Implant | Huntress, Huntress原始文件
  2. Attackers Exploit AhsayCBS Flaws to Deploy Sandbox-Evading Python Backdoor, The Hacker News
  3. Unpatched AhsayCBS flaws exploited to deploy webshells, mine crypto, BleepingComputer
  4. Malware, Wikipedia
我們如何核實這篇報道
內容來源狀態
Huntress表示，攻擊者利用CVE-2026-105133，即繞過驗證漏洞，以及CVE-2026-105134，即未經驗證即可取得SYSTEM權限的遠程程式碼執行漏洞。Huntress已證實
Huntress表示，受影響機構的伺服器於2026年10月8日至10月11日期間遭利用，當時Ahsay尚未發布熱修補程式。Huntress已證實
Ahsay為第10版發布10.3.4.45熱修補程式，並為第7至第9版發布9.15.2.70熱修補程式，而Huntress證實10.3.4.45可阻截已觀察到的入侵入口。Huntress已證實
Huntress在調查期間發現5個網頁殼家族。Huntress已證實
入侵在用於存放備份的伺服器部署了2種挖礦程式、隧道工具及一個自訂植入程式。Huntress已證實
Huntress未識別該惡意軟件家族，亦未觀察到植入程式運行，因此它完成回報後的行為仍然未知。Huntress已證實
Huntress表示，修補程式可關閉入侵入口，但無法移除已植入暴露伺服器的檔案。Huntress已證實
The Hacker News報道，攻擊利用兩個現已修補的AhsayCBS漏洞投放以Python為基礎的植入程式。The Hacker News引述
The Hacker News報道，兩個漏洞被評估為已武器化的零日漏洞，攻擊者並部署了網頁殼及XMRig挖礦程式。The Hacker News引述
The Hacker News報道，Ahsay Backup於2026年10月中旬發布兩個漏洞的修補程式。The Hacker News引述
The Hacker News報道，操作者設定Microsoft Defender排除項目，並使用隧道工具及合法遠程存取軟件以維持持久存取權限。The Hacker News引述
The Hacker News報道，證據顯示威脅涉事者可能以存放或管理備份的伺服器為目標。The Hacker News引述
BleepingComputer報道，威脅行動者正利用一個嚴重及一個中等嚴重程度、當時仍未修補的AhsayCBS漏洞。BleepingComputer引述
惡意軟件是刻意設計用於干擾或破壞系統、泄露私人資料、取得未經授權存取權，或干擾安全及私隱的軟件。Wikipedia已證實
huntress.com於2026年11月9日發布其報告。huntress.com已證實

未能核實

  • 漏洞是否在2026年10月8日之前遭利用，尚未確定
  • 受影響的AhsayCBS伺服器數目，尚未確定
  • 是否從相關Veeam伺服器取得登入憑證，尚未確定
  • 是否透過網頁殼外洩數據，尚未確定
  • 兩個漏洞是否獲得CVSS評分，尚未確定
cve
查看全部 漏洞修補 →
用 AI 深入了解
ChatGPT
Claude
Perplexity
Grok