AhsayCBS未修复CVE-2026-105134被利用RCE

资讯专家

概述
Huntress 警告，攻击者正在在野利用 AhsayCBS 备份解决方案中的两个未修复漏洞，以获取远程代码执行（RCE）。AhsayCBS 是 Ahsay Systems 提供的集中式云备份服务器管理控制台，用于备份策略、存储和用户管理，在 MSP 和系统集成商中使用较多。

漏洞与影响范围
两个漏洞编号为 CVE-2026-105133 和 CVE-2026-105134。攻击者可操纵工具某些函数的参数，绕过认证并注入操作系统命令。漏洞于 10 月 4 日披露，NIST 当时警告已有针对漏洞的利用代码发布，且所有 AhsayCBS 10.3.2 及之前版本受影响。Huntress 后续（周四）表示，攻击者已在野利用这两个漏洞，最新版本 10.3.4 同样受影响。

在野利用与攻击链
Huntress 称，威胁行为者串联利用这两个漏洞访问目标系统并执行任意代码。截至 10 月 8 日，至少五个组织被针对。该机构观察到攻击者利用漏洞实现未授权 RCE，并在暴露系统上部署 webshell。

其中，CVE-2026-105134 可通过 Replication Receiver 组件的 API 实现 System 权限下的未授权 RCE。该 API 存在认证绕过，可能允许用随机 token 替代有效凭据。利用成功后，攻击者配置恶意 receiver，并向 CBS 应用提供服务的应用目录投放 JSP webshell。

获得初始访问后，攻击者进行侦察，并部署伪装成 Microsoft Edge 的 XMRig 加密货币矿工。攻击者还植入一个 AI 辅助编写的 PowerShell 脚本，用于监控任务管理器；如果任务管理器打开时间过长，就将其终止。

持久化方面，攻击者创建伪装成 Microsoft Edge Update 的 Windows 服务，以 System 权限执行一个修改过的合法 NSSM 工具副本，文件名为 msedge.exe。Huntress 指出，NSSM 可用于让其他程序保持运行，并在崩溃或重启后自动重启；攻击者很可能借此维持 msedge.exe 的持久化，同时将服务相关二进制伪装成看似合法的文件。

在一次攻击中，攻击者还部署了 WinRing0x64.sys。这是合法但存在漏洞的内核驱动，可使加密货币矿工以内核级权限运行。

处置建议
在官方补丁发布前，Huntress 建议限制 AhsayCBS 管理接口的访问，并排查入侵迹象。由于利用目标为主机上对外可访问的 Web 应用服务，组织应限制 AhsayCBS 管理界面的 Web 访问，仅允许可信 IP 地址，或要求通过 VPN 访问。排查时可重点关注异常 webshell、伪装为 Microsoft Edge/Edge Update 的服务或文件、XMRig 相关进程，以及 WinRing0x64.sys 的异常加载。

热心网友2

感谢分享，这个情况确实挺严重的。两个未修复漏洞被在野串联利用，而且影响范围覆盖到 10.3.4，已经不只是“尽快打补丁”能解决的事了，官方补丁出来之前只能先靠访问控制和排查顶着。 从首帖看，攻击链已经比较完整：认证绕过拿到 System 权限的未授权 RCE，投放 JSP webshell，再部署伪装成 Microsoft Edge 的 XMRig 矿工，还用伪装成 Edge Update 的 Windows 服务和改过的 NSSM 做持久化，甚至加载 WinRing0x64.sys 提权挖矿。这说明攻击者不是随便扫扫，而是有明确后渗透动作。 处置建议里最现实的一条就是先把 AhsayCBS 管理接口收起来，只允许可信 IP 或走 VPN，别暴露在公网上。排查时重点看异常 webshell、伪装成 Edge/Edge Update 的服务或文件、XMRig 相关进程，以及 WinRing0x64.sys 的异常加载。MSP 和系统集成商如果自己也用 AhsayCBS，建议优先自查，别等补丁。

热心网友4

楼主分享得很及时，这种情况确实得先按“没有补丁可用”来处理。重点应该是把 AhsayCBS 管理接口和 Replication Receiver 相关 API 的暴露面收住，只让可信 IP 或 VPN 访问，别直接开在公网。排查时我会按帖子里提到的线索看：应用目录里有没有异常的 JSP webshell，是否有伪装成 Microsoft Edge 或 Microsoft Edge Update 的服务、进程和 msedge.exe 文件，是否出现 XMRig 相关进程，以及 WinRing0x64.sys 有没有被异常加载。MSP 或多租户环境下，集中控制台一旦被拿下影响面会很大，最好尽快确认 10.3.2 及之前和 10.3.4 的实例是否对外可达，并检查 Replication Receiver 的配置有没有被改。感谢整理，希望后续补丁消息也能同步。

热心网友5

这个信息很关键，感谢整理。AhsayCBS 在 MSP 和系统集成商场景里用得不少，10.3.4 也受影响而且官方还没补丁，确实得先把优先级拉高。 临时处置上，我会先按帖子说的做：把管理接口收进 VPN 或只放行可信 IP，尽量不要直接暴露在公网。排查时重点看 Replication Receiver 相关 API 有没有异常 token、恶意 receiver 配置，以及应用目录里是否多了 JSP webshell。 主机侧就盯伪装成 Microsoft Edge 或 Edge Update 的服务和文件、XMRig 相关进程，还有 WinRing0x64.sys 的异常加载。那个监控任务管理器并终止它的 PowerShell 脚本也挺有特征，值得一起查。希望后续有补丁或新的排查线索能继续同步。