AhsayCBS veröffentlicht Hotfixes für aktiv ausgenutzte Authentifizierungsumgehungen

Das in Singapur ansässige Unternehmen Ahsay Backup hat Notfall-Sicherheitsupdates für seine Backup-Software AhsayCBS veröffentlicht. Dies geschah, nachdem festgestellt wurde, dass vorherige Patches zwei kritische Sicherheitslücken nicht vollständig behoben hatten. Die als CVE-2026-105133 und CVE-2026-105134 identifizierten Fehler werden von Angreifern aktiv ausgenutzt, um unbefugten Zugriff auf Systeme zu erlangen. Diese Entwicklung folgt darauf, dass die im August 2026 veröffentlichten ersten Fixes als unvollständig eingestuft wurden, wodurch viele selbst gehostete Umgebungen für Remote Code Execution-Angriffe (RCE) exponiert blieben.

Was passiert ist

Die Sicherheitsprobleme betreffen eine Kette von zwei Schwachstellen, die es Angreifern ermöglichen, Authentifizierungsmechanismen vollständig zu umgehen. In Kombination ermöglichen diese Fehler eine authentifizierungslose Remote Code Execution, was Gegnern die volle Kontrolle über den betroffenen Server gibt. Das Sicherheitsunternehmen Huntress berichtete Anfang dieses Monats, dass es böswillige Akteure beobachtet habe, die genau diese Angriffskette nutzten, um Web-Shells und XMRig-Kryptowährungs-Miner auf kompromittierten Systemen zu installieren. Web-Shells bieten einen persistenten Backdoor-Zugang, während Cryptojacking-Malware Server-Ressourcen kapert, um digitale Währungen zu schürfen, was oft zu Leistungseinbußen und erhöhten Betriebskosten führt.

Obwohl Ahsay bereits im August 2026 die Versionen 9.15.2.59 und 10.3.4.0 mit der Absicht veröffentlicht hatte, diese Probleme zu beheben, hat das Unternehmen nun bestätigt, dass diese Updates die Sicherheitslücken nicht vollständig geschlossen haben. Folglich wurden neue Hotfixes herausgegeben: AhsayCBS v10.3.4.45 und AhsayCBS v9.15.2.70. Huntress hat unabhängig verifiziert, dass der neue Hotfix v10.3.4.45 den initialen Einstiegspunkt der Angriffskette erfolgreich entschärft, der in früheren gepatchten Versionen verwundbar geblieben war. Ahsay drängt Nutzer dringend dazu, diese Hotfixes sofort anzuwenden und ihre Server neu zu starten, damit die Änderungen wirksam werden.

Wichtige Details

• Schwachstellen: CVE-2026-105133 und CVE-2026-105134 ermöglichen Authentifizierungsumgehung und beliebige Befehlsausführung.
• Aktive Ausnutzung: Bedrohungsakteure nutzen die Fehler, um Web-Shells und XMRig-Kryptowährungs-Miner bereitzustellen.
• Unvollständige vorherige Fixes: Im August 2026 veröffentlichte Patches (Versionen 9.15.2.59 und 10.3.4.0) lösten die Probleme nicht vollständig.
• Neue Hotfixes: Benutzer müssen auf AhsayCBS v10.3.4.45 oder v9.15.2.70 aktualisieren, um die Schwachstellen zu beheben.
• Pflicht-Neustart: Ahsay weist darauf hin, dass Server nach dem Anwenden des Hotfixes neu gestartet werden müssen, damit die Sicherheitsmaßnahmen aktiviert werden.
• Regulatorische Maßnahmen: CISA hat diese Fehler in seinen Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities) aufgenommen und eine Frist bis zum 17. Oktober 2026 für Bundesbehörden festgelegt.

Hintergrund

Remote Code Execution (RCE) ist eine der schwerwiegendsten Arten von Sicherheitslücken, da sie einem Angreifer ermöglicht, jeden Befehl auf einem Zielsystem auszuführen, ohne gültige Zugangsdaten zu benötigen. In diesem Fall verketten die Angreifer zwei separate Fehler, um den normalen Login-Prozess zu umgehen. Einmal im System installiert, richten sie Web-Shells ein – bösartige Skripte, die eine persistente Schnittstelle zur Fernsteuerung des Servers bieten. Diese Persistenz ermöglicht es ihnen, später zurückzukehren, selbst wenn die ursprüngliche Schwachstelle gepatcht wird, es sei denn, die Web-Shell selbst wird entdeckt und entfernt.

Kryptowährungs-Mining-Malware wie XMRig ist eine häufige Payload bei solchen Angriffen, da sie die Kompromittierung sofort monetarisiert, indem sie die Rechenleistung des Opfers nutzt. Für IT-Teams, die selbst gehostete Infrastruktur verwalten, führt dies zu unerwarteten Spitzen in der CPU-Auslastung und den Stromkosten. Die Beteiligung der US-Behörde Cybersecurity and Infrastructure Security Agency (CISA) unterstreicht die Schwere der Bedrohung, da die Aufnahme in den Known Exploited Vulnerabilities (KEV)-Katalog signalisiert, dass die aktive Ausnutzung weit verbreitet und gefährlich ist.

Warum es wichtig ist

Für Teams, die ihre eigene Backup-Infrastruktur betreiben, unterstreicht dieser Vorfall das Risiko, sich auf Single-Vendor-Lösungen ohne strenge unabhängige Überprüfung der Sicherheitspatches zu verlassen. Die Tatsache, dass die August-Updates von vielen Nutzern als ausreichend angesehen wurden, nur um Wochen später als unvollständig entlarvt zu werden, erzeugt ein falsches Sicherheitsgefühl. Selbsthosting erfordert ein hohes Maß an Wachsamkeit, da Sie für den gesamten Stack verantwortlich sind, einschließlich zeitnahem Patching und der Verifizierung, ob Updates die gemeldeten Probleme tatsächlich lösen. Verzögerungen aufgrund der Annahme, dass ein vorheriger Patch funktioniert hat, könnten Ihre Daten der Exfiltration oder Verschlüsselung durch Ransomware-Betreiber aussetzen, die oft ähnliche Methoden für den initialen Zugang verwenden.

Darüber hinaus bringt die Anforderung, Server nach dem Anwenden des Hotfixes neu zu starten, operative Komplexität mit sich. In vielen Produktionsumgebungen erfordert die Planung von Downtime für Neustarts sorgfältige Vorbereitung, um Serviceunterbrechungen zu vermeiden. Angesichts dessen, dass CISA eine harte Frist für Bundesbehörden gesetzt hat und die aktive Ausnutzung andauert, überwiegt das Risiko einer verzögerten Neustart-Durchführung die Unannehmlichkeiten. Teams müssen Verfügbarkeit gegen Sicherheit abwägen und erkennen, dass ein ungepatchter oder falsch gepatchter Backup-Server ein kritisches Haftungsrisiko darstellt.

Was Sie tun können

• Version prüfen: Identifizieren Sie sofort, ob Ihre Umgebung AhsayCBS-Versionen vor 9.15.2.70 oder 10.3.4.45 verwendet.
• Hotfix anwenden: Laden Sie die spezifischen Hotfix-Versionen (v9.15.2.70 oder v10.3.4.45) vom offiziellen Ahsay-Portal herunter und installieren Sie sie.
• Server neu starten: Planen und führen Sie unmittelbar nach dem Patching einen Server-Neustart durch, um sicherzustellen, dass die Entschärfung aktiv ist.
• Indikatoren scannen: Verwenden Sie Endpoint-Detection-Tools, um nach Anzeichen von Web-Shells oder XMRig-Prozessen zu suchen, wie ungewöhnliche CPU-Spitzen oder unbekannte Skripte in Web-Verzeichnissen.
• Zugriffsprotokolle überprüfen: Untersuchen Sie Authentifizierungs- und Zugriffsprotokolle auf verdächtige Aktivitäten seit August 2026, als die ersten unvollständigen Patches veröffentlicht wurden.
• CISA KEV überwachen: Behalten Sie den Katalog bekannter ausgenutzter Schwachstellen im Blick, um zukünftige verbindliche Patch-Fristen und aktive Bedrohungen zu verfolgen.