AhsayCBS phát hành bản vá nóng cho các lỗ hổng bỏ qua xác thực đang bị khai thác tích cực

Công ty Ahsay Backup có trụ sở tại Singapore đã phát hành các bản cập nhật bảo mật khẩn cấp cho phần mềm sao lưu AhsayCBS sau khi phát hiện ra rằng các bản vá trước đó không khắc phục hoàn toàn hai lỗ hổng nghiêm trọng. Các lỗ hổng này, được định danh là CVE-2026-105133 và CVE-2026-105134, đang bị các nhóm đe dọa khai thác tích cực để truy cập trái phép vào hệ thống. Diễn biến này xảy ra sau khi các bản sửa lỗi ban đầu được phát hành vào tháng 8 năm 2026 được xác định là chưa đầy đủ, khiến nhiều môi trường tự chủ (self-hosted) bị lộ trước các cuộc tấn công thực thi mã từ xa.

Chuyện gì đã xảy ra

Các vấn đề bảo mật liên quan đến một chuỗi gồm hai lỗ hổng cho phép kẻ tấn công bỏ qua hoàn toàn cơ chế xác thực. Khi kết hợp lại, những lỗ hổng này cho phép thực thi mã từ xa mà không cần xác thực, trao cho đối thủ quyền kiểm soát toàn bộ máy chủ bị ảnh hưởng. Công ty an ninh mạng Huntress báo cáo vào đầu tháng này rằng họ đã quan sát thấy các tác nhân độc hại khai thác chuỗi tấn công cụ thể này để triển khai web shell và trình đào tiền ảo XMRig trên các hệ thống bị xâm nhập. Web shell cung cấp quyền truy cập cửa hậu (backdoor) bền vững, trong khi phần mềm đào tiền ảo chiếm dụng tài nguyên máy chủ để khai thác tiền kỹ thuật số, thường dẫn đến suy giảm hiệu suất và tăng chi phí vận hành.

Mặc dù Ahsay trước đây đã phát hành các phiên bản 9.15.2.59 và 10.3.4.0 vào tháng 8 năm 2026 với mục đích khắc phục các sự cố này, công ty hiện đã xác nhận rằng các bản cập nhật đó không bịt kín hoàn toàn các lỗ hổng bảo mật. Do đó, các bản vá nóng mới đã được phát hành: AhsayCBS v10.3.4.45 và AhsayCBS v9.15.2.70. Huntress đã độc lập xác minh rằng bản vá nóng v10.3.4.45 mới thành công trong việc giảm thiểu điểm xâm nhập ban đầu của chuỗi tấn công, vốn vẫn còn dễ bị tổn thương ở các phiên bản đã vá trước đó. Ahsay mạnh mẽ khuyến nghị người dùng áp dụng ngay lập tức các bản vá nóng này và khởi động lại máy chủ để đảm bảo các thay đổi có hiệu lực.

Chi tiết chính

• Lỗ hổng: CVE-2026-105133 và CVE-2026-105134 cho phép bỏ qua xác thực và thực thi lệnh tùy ý.
• Khai thác tích cực: Các tác nhân đe dọa đang sử dụng các lỗ hổng này để triển khai web shell và trình đào tiền ảo XMRig.
• Bản vá trước chưa hoàn chỉnh: Các bản vá được phát hành vào tháng 8 năm 2026 (phiên bản 9.15.2.59 và 10.3.4.0) không giải quyết triệt để các sự cố.
• Bản vá nóng mới: Người dùng phải nâng cấp lên AhsayCBS v10.3.4.45 hoặc v9.15.2.70 để xử lý các lỗ hổng.
• Yêu cầu khởi động lại bắt buộc: Ahsay tuyên bố rằng máy chủ phải được khởi động lại sau khi áp dụng bản vá nóng để các biện pháp bảo mật có hiệu lực.
• Hành động pháp quy: CISA đã thêm các lỗ hổng này vào danh mục Lỗ hổng Bảo mật Đã Biết Đang Bị Khai Thác (Known Exploited Vulnerabilities), đặt ra thời hạn chót là ngày 17 tháng 10 năm 2026 cho các cơ quan liên bang.

Bối cảnh

Thực thi mã từ xa (RCE) là một trong những loại lỗ hổng bảo mật nghiêm trọng nhất vì nó cho phép kẻ tấn công chạy bất kỳ lệnh nào trên hệ thống mục tiêu mà không cần thông tin đăng nhập hợp lệ. Trong trường hợp này, kẻ tấn công kết nối hai lỗ hổng riêng biệt để vượt qua quy trình đăng nhập bình thường. Sau khi xâm nhập, chúng cài đặt web shell, là các tập lệnh độc hại cung cấp giao diện điều khiển máy chủ từ xa một cách bền vững. Tính bền vững này cho phép chúng quay lại sau đó ngay cả khi lỗ hổng ban đầu đã được vá, trừ khi chính web shell bị phát hiện và gỡ bỏ.

Phần mềm độc hại đào tiền ảo, chẳng hạn như XMRig, là tải trọng phổ biến trong các cuộc tấn công loại này vì nó kiếm tiền ngay lập tức từ sự xâm nhập bằng cách sử dụng sức mạnh tính toán của nạn nhân. Đối với các đội ngũ IT quản lý cơ sở hạ tầng tự chủ, điều này dẫn đến sự gia tăng đột biến không mong muốn về mức sử dụng CPU và chi phí điện. Sự tham gia của Cơ quan An ninh Mạng và Hạ tầng Hoa Kỳ (CISA) nhấn mạnh mức độ nghiêm trọng của mối đe dọa, vì việc đưa vào danh mục KEV báo hiệu rằng hoạt động khai thác đang diễn ra rộng rãi và nguy hiểm.

Tại sao điều này quan trọng

Đối với các đội ngũ vận hành cơ sở hạ tầng sao lưu riêng, sự cố này nhấn mạnh rủi ro khi phụ thuộc vào các giải pháp đơn nhà cung cấp mà không có sự xác minh độc lập chặt chẽ về các bản vá bảo mật. Việc các bản cập nhật hồi tháng Tám được nhiều người dùng coi là đủ, chỉ để bị phơi bày là chưa hoàn chỉnh vài tuần sau đó, tạo ra một cảm giác an toàn giả mạo. Tự chủ hosting đòi hỏi mức độ cảnh giác cao vì bạn chịu trách nhiệm cho toàn bộ ngăn xếp công nghệ, bao gồm việc vá lỗi kịp thời và xác minh rằng các bản cập nhật thực sự giải quyết được các sự cố được báo cáo. Trì hoãn hành động dựa trên giả định rằng một bản vá trước đó đã hoạt động có thể khiến dữ liệu của bạn bị rò rỉ hoặc bị mã hóa bởi các nhà khai thác ransomware, những người thường sử dụng các phương thức truy cập ban đầu tương tự.

Hơn nữa, yêu cầu khởi động lại máy chủ sau khi áp dụng bản vá nóng làm tăng thêm phức tạp về mặt vận hành. Trong nhiều môi trường sản xuất, việc lên lịch thời gian ngừng hoạt động để khởi động lại đòi hỏi kế hoạch cẩn thận để tránh gián đoạn dịch vụ. Tuy nhiên,鉴于 CISA đã đặt ra thời hạn chót cứng nhắc cho các cơ quan liên bang và hoạt động khai thác đang diễn ra, rủi ro của việc trì hoãn khởi động lại lớn hơn sự bất tiện. Các đội ngũ phải cân bằng giữa tính sẵn sàng và bảo mật, nhận thức rằng một máy chủ sao lưu chưa được vá hoặc được vá không đúng cách là một gánh nặng rủi ro nghiêm trọng.

Bạn có thể làm gì

• Kiểm tra phiên bản: Ngay lập tức xác định xem môi trường của bạn có đang chạy các phiên bản AhsayCBS cũ hơn 9.15.2.70 hoặc 10.3.4.45 hay không.
• Áp dụng bản vá nóng: Tải xuống và cài đặt các phiên bản bản vá nóng cụ thể (v9.15.2.70 hoặc v10.3.4.45) từ cổng thông tin chính thức của Ahsay.
• Khởi động lại máy chủ: Lên lịch và thực hiện khởi động lại máy chủ ngay lập tức sau khi vá lỗi để đảm bảo biện pháp giảm thiểu có hiệu lực.
• Quét các dấu hiệu: Sử dụng các công cụ phát hiện điểm cuối để tìm kiếm các dấu hiệu của web shell hoặc tiến trình XMRig, chẳng hạn như mức sử dụng CPU bất thường hoặc các tập lệnh không xác định trong thư mục web.
• Xem xét nhật ký truy cập: Kiểm tra nhật ký xác thực và truy cập để tìm các hoạt động đáng ngờ kể từ tháng 8 năm 2026, khi các bản vá chưa hoàn chỉnh ban đầu được phát hành.
• Theo dõi CISA KEV: Theo dõi danh mục Lỗ hổng Bảo mật Đã Biết Đang Bị Khai Thác để nắm bắt các thời hạn vá lỗi bắt buộc trong tương lai và các mối đe dọa đang hoạt động.