Huntress задетектила активное использование неисправленных CVE-2026-105133 и CVE-2026-105134 в решении для резервного копирования AhsayCBS, которые позволяют злоумышленникам обходить аутентификацию и RCE.

Консоль управления сервером резервного копирования в облаке AhsayCBS предоставляет возможности управления политиками резервного копирования, хранилищем и пользователями и пользуется популярностью среди поставщиков управляемых услуг и системных интеграторов.

Упомянутые ошибки позволяют злоумышленникам манипулировать аргументами в определенных функциях инструмента, чтобы обойти аутентификацию и внедрить команды операционной системы.

Проблемы были раскрыты 4 октября и затрагивают все версии AhsayCBS до 10.3.2 включительно. В прошлый четверг Huntress предупредила, что злоумышленники уже начали использовать их в реальных условиях. При этом последняя версия AhsayCBS, 10.3.4, также уязвима.

Исследователи настоятельно рекомендуют до выхода обновления ограничить доступ к интерфейсу управления и проверить наличие признаков взлома.

По данным Huntress, злоумышленники объединяют обе уязвимости для получения доступа к удаленному выполнению кода без аутентификации и развертывания веб-оболочек на незащищенных системах. По состоянию на 8 октября атакам подверглись как минимум пять организаций.

Кроме того, отмечено, что CVE-2026-105134 может быть использована для неаутентифицированного выполнения удаленных операций с системными привилегиями через API компонента Replication Receiver.

API содержит механизм обхода аутентификации, который позволяет использовать случайный токен вместо действительных учетных данных.

Как пояснила Huntress, после эксплуатации злоумышленник настраивал вредоносный приемник и размещал веб-оболочку Java Server Page (JSP) в каталоге приложения, обслуживаемого приложением CBS.

Получив первоначальный доступ, злоумышленники провели разведку и развернули XMRig, замаскированные под Microsoft Edge. Они также внедрили скрипт PowerShell с поддержкой ИИ для мониторинга диспетчера задач и его завершения, если он остается открытым слишком долго.

Они также добились сохранения работоспособности системы, создав службу Windows, маскирующуюся под Microsoft Edge Update, для запуска модифицированной копии легитимной утилиты NSSM под названием msedge.exe с системными привилегиями.

NSSM способна поддерживать работу других программ, обеспечивая их бесперебойную работу и перезапуск после сбоя или перезагрузки, и злоумышленники в этом инциденте, вероятно, использовали его для обеспечения постоянного присутствия edge.exe, маскируя связанный со службой исполняемый файл под легитимный.

В ходе одной из атак хакеры развернули WinRing0x64.sys, легитимный, но уязвимый драйвер ядра, который позволял майнеру криптовалюты работать с доступом на уровне ядра.

Так что организациям следует ограничить доступ к веб-интерфейсу управления AhsayCBS, поскольку уязвимость нацелена на внешне доступный веб-сервис на хосте. Доступ должен быть ограничен только доверенными IP или требовать использования VPN.