Het in Singapore gevestigde Ahsay Backup heeft beveiligingsupdates uitgebracht om twee kwetsbaarheden in AhsayCBS te verhelpen die door kwaadwillenden zijn misbruikt om web shells en XMRig-cryptomijnsoftware te plaatsen.
Het gaat om kwetsbaarheden CVE-2026-105133 en CVE-2026-105134, die gecombineerd kunnen worden om authenticatie te omzeilen en willekeurige commando’s op getroffen systemen uit te voeren.
In een eerder deze maand gepubliceerd rapport meldde Huntress dat het heeft waargenomen dat bedreigingsactoren de twee lekken combineren om ongeauthenticeerde remote code execution te bereiken en web shells en cryptomijners op blootgestelde systemen te installeren.
Hoewel werd aangenomen dat de kwetsbaarheden waren verholpen in AhsayCBS-versies 9.15.2.59 en 10.3.4.0, die in augustus 2026 werden uitgebracht, heeft het softwarebedrijf nu bevestigd dat die patches het probleem niet volledig hebben opgelost.
De fixes zijn beschikbaar in de volgende versies:
- AhsayCBS v10.3.4.45 hotfix
- AhsayCBS v9.15.2.70 hotfix
“Gezien de ernst van deze risico’s dringen wij er sterk op aan dat u onmiddellijk maatregelen neemt om uw omgeving te beveiligen en de gegevens van uw klanten te beschermen,” zei Ahsay. “Start uw server opnieuw op nadat u de hotfix hebt toegepast.”
In een update verklaarde Huntress dat het “onafhankelijk heeft geverifieerd dat de AhsayCBS 10.3.4.45-hotfix het initiële toegangspunt van deze keten van aanvallen vermindert, dat op eerdere v10-versies nog kwetsbaar was.”
De actieve uitbuiting van de lekken heeft de Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) ertoe aangezet ze op te nemen in de Known Exploited Vulnerabilities (KEV)-catalogus, waardoor federale instanties verplicht zijn de patches vóór 17 oktober 2026 toe te passen.
