AhsayCBS: řetězec zranitelností ohrožuje zálohovací servery

Titulní modrá grafika technického doporučení pro AhsayCBS — Úvodní obrázek z původního článku na blogu Bitdefenderu ↗.

Rozbor dvou chyb AhsayCBS, pozorovaných útoků a postupu nápravy. Proč samotná aktualizace neodstraní dříve získaný přístup útočníka?

KRITICKÉ | CVSS 10,0 pro CVE-2026-105134 podle VulDB | Potvrzené aktivní zneužívání, zařazeno do CISA KEV | Bezodkladně aktualizujte

Stručně

Útočníci řetězí dvě zranitelnosti v AhsayCBS, serverové platformě pro správu záloh Ahsay Cloud Backup Suite: chybu autentizace CVE-2026-105133 a vkládání příkazů operačního systému CVE-2026-105134, které VulDB přiřadilo CVSS 10,0. Ohrožen je každý dosažitelný server AhsayCBS v7 až v10 s nižším sestavením než v10.3.4.45 pro v10 nebo v9.15.2.70 pro v7, v8 a v9. To zahrnuje i dřívější opravy v10.3.4.0 a v9.15.2.59, které podle oznámení Ahsay z října 2026 problém plně neodstranily. Ani již provedená aktualizace tedy nemusí znamenat bezpečí: ověřte sestavení, nasaďte nový hotfix, restartujte a prověřte předchozí kompromitaci. Aktualizace uzavírá vstupní bod, ale neodstraňuje webové shelly ani jiný přístup už zavedený útočníkem. Ten může týdny nečinně čekat před ransomwarem či krádeží dat. Bitdefender MDR od přibližně 7. října 2026 vyšetřoval u zákazníků několik incidentů využívajících tento řetězec. Přesný postup identifikace a nápravy najdete níže v části Co dělat.

Historie doporučení

15. října 2026: první vydání založené na třech vyšetřováních Bitdefender MDR. Hotfixy výrobce jsou dostupné a obě CVE jsou uvedeny v CISA KEV.

Situace

AhsayCBS je serverová část zálohovacího produktu Ahsay. Přijímá, ukládá a spravuje zálohy připojených klientů. Útočníci aktivně zneužívají dvě chyby v jeho webových komponentách. Časová osa:

4. října 2026 v 07:16 UTC: obě CVE byly zveřejněny v americké National Vulnerability Database, NVD. Oba záznamy uvádějí existenci veřejného exploitu.
Přibližně 7.–8. října: začínají první dva incidenty Bitdefender MDR. Časově se shodují s prvními veřejnými zprávami o zneužití a doporučeními Ahsay.
12. října: Ahsay vydává hotfixy v10.3.4.45 a v9.15.2.70. Zároveň uvádí, že starší opravy v10.3.4.0 a v9.15.2.59 nebyly úplné.
14. října: CISA zařazuje obě CVE do katalogu Known Exploited Vulnerabilities, tedy seznamu chyb s potvrzeným zneužíváním. Americké federální úřady je musí opravit v určené lhůtě. Tentýž den MDR identifikuje třetí incident.
17. října: federální termín nápravy stanovený CISA.

Vyšetřování MDR i zařazení do KEV potvrzují zneužívání. Některé ukazatele se překrývají s veřejně popsanou aktivitou. Bitdefender aktivitu nepřipisuje žádnému konkrétnímu útočníkovi.

Záznamy NVD stále uvádějí 10.3.4 jako nedotčenou verzi. Pozdější oznámení výrobce tento údaj překonává a tento rozbor se řídí výrobcem.

Jak probíhá zneužití

Zálohovací servery jsou cenným opěrným bodem. Uchovávají přihlašovací údaje k chráněným systémům a úložištím a ovládají kopie potřebné k obnově. Ransomwarový útočník chce právě tato data ukrást nebo zničit ještě před šifrováním ostatních systémů. AhsayCBS poskytuje webovou službu správy pro administrátory a klienty. V mnoha nasazeních je proto záměrně dostupný z internetu.

Všechny tři vyšetřované incidenty začaly kombinací obou CVE. První chyba narušuje autentizaci: server lze přimět považovat neověřený požadavek za legitimní. Druhá umožňuje vkládání příkazů operačního systému, kdy se text útočníka vykoná na serveru jako příkaz. Oba záznamy NVD označují argument random. Žádná chyba nevyžaduje účet ani činnost uživatele. MDR je pozoroval společně. NVD ovšem hodnotí samotné vkládání příkazů jako útok bez oprávnění, takže celý řetězec nemusí být ke spuštění příkazů nutný. Existuje veřejný exploit. Model CISA Stakeholder-Specific Vulnerability Categorization, používaný k prioritizaci oprav, hodnotí zneužívání obou chyb jako aktivní a automatizovatelné.

Po průniku si útočníci ověřovali přístup. V prvním incidentu používali JSP webové shelly: malé skripty na webserveru umožňující spouštění příkazů běžnými webovými požadavky. Připravovali také PowerShell, zkoušeli ukládat příkazové soubory .cmd do sdílené složky C:\Users\Public a zajistit přetrvání přes restarty i změny hesel. Analytici MDR části aktivity včas odhalili a zablokovali. Ve druhém incidentu útočník nasadil JSP soubory, tedy Java Server Pages fungující na tomto javovém serveru jako webové shelly, a opět zkoušel .cmd v C:\Users\Public. Následoval průzkum uložených přihlašovacích údajů, zvýšení oprávnění uživatelského účtu na SYSTEM, nejvyšší úroveň Windows, a instalace a konfigurace OpenSSH pomocí obfuskovaných příkazů PowerShellu. Funkční SSH by umožnilo návrat nezávislý na zranitelné webové službě, proto samotná oprava incident neukončuje. Útočník se snažil zajistit přetrvání před odhalením. Ve třetím incidentu MDR aktivitu zastavil a napravil už v počátečním přístupu. Pomohlo rozpoznání známých vzorců chování, rychlá reakce zákazníka a rychlá revize konfigurací.

Po společném začátku se incidenty rozcházely. Lišily se názvy souborů, zneužité systémové nástroje a binární soubory i zdánlivé cíle. Podle MDR zůstával řetězec zneužití stejný, zatímco soubory a nástroje se měnily. První dva incidenty sdílely některé ukazatele a výchozí C2 adresu 38.60.252[.]110. Přesto hash či název souboru z jednoho případu nemusí spolehlivě zachytit další. Spolehlivějším signálem je následné chování serveru. Sdílená infrastruktura a odlišnosti incidentů naznačují proměnlivou situaci, kdy stejné exploity může používat několik útočníků. Jde o hodnocení, nikoli potvrzený závěr, a s dalšími případy se může změnit.

Podmínky ohrožení: server musí používat AhsayCBS v7, v8, v9 nebo v10 pod verzí v9.15.2.70 pro v7 až v9 či v10.3.4.45 pro v10 a útočník musí dosáhnout na webovou správu. Starší opravy nestačí. Správce, který nasadil v10.3.4.0 nebo v9.15.2.59, tehdy jednal správně, ale výrobce nyní uvádí neúplnost opravy. Rozhodující je skutečná verze v10.3.4.45 nebo v9.15.2.70 či novější.

Faktory zvyšující riziko: VulDB jako přidělující autorita CVE hodnotí vkládání příkazů stupněm 10,0 v CVSS 3.1, standardní stupnici závažnosti. Existuje veřejný exploit a útok je automatizovatelný. Neúplná první oprava vytváří falešný pocit bezpečí. MDR připouští více útočníků. Průzkum přihlašovacích údajů ve druhém incidentu odpovídá hodnotě zálohovacích serverů.

Omezující faktory: útok vyžaduje síťový přístup k webové správě. Servery dostupné jen zevnitř mají menší reálné vystavení. MDR jeden incident zastavil už na začátku a jiný částečně zablokoval. Nezaznamenal šifrování, odcizení dat ani nasazení ransomwaru. Ransomware je vzhledem k cíli možným rizikem, nebyl však pozorován.

Míra jistoty: aktivní zneužívání potvrzují vlastní vyšetřování MDR i KEV. Závažnost je jednoznačná: neautentizované vzdálené spuštění kódu na internetově dostupné službě s veřejným exploitem, podle hodnocení MDR možná využívané více aktéry. Pokračující příležitostné útoky na neopravené i dříve nedostatečně opravené servery jsou podle autorů téměř jisté. V ostatních závěrech jsou zdrženliví. Ze tří incidentů nelze určit původce, počet skupin ani jejich konečné záměry.

Pokud jste ohrožení potvrdili, přejděte k části Co dělat.

Technický mechanismus

Veřejných podrobností o mechanismu je málo. Následující popis vychází výhradně ze záznamů NVD a pozorování MDR a nespekuluje o kořenové příčině. Každá chyba má klasifikaci CWE, tedy položku standardního katalogu typů softwarových slabin Common Weakness Enumeration.

CVE-2026-105133: nesprávná autentizace, CWE-287. Chyba je ve funkci checkSysPwd komponenty API v souboru ApiStructsAction.java. Manipulace s argumentem random vede k nesprávnému ověření. Zneužití je vzdálené, bez oprávnění i bez zásahu uživatele.

CVE-2026-105134: vkládání příkazů OS, CWE-77 a CWE-78. Chyba je v komponentě Replication Receiver, vzdáleném úložišti synchronizujícím zálohy z jednoho či více serverů AhsayCBS podle příručky CBS v9 Replication Guide ze srpna 2025. Dotčený endpoint je /rps/api/json/UpdateReceivers.do. Manipulace se stejným argumentem random vede ke vkládání příkazů OS, opět vzdáleně a bez oprávnění či uživatelské interakce.

Proč je to možné? NVD rozlišuje nesprávnou autentizaci a vkládání příkazů, obojí dosažitelné manipulací s argumentem random. Ahsay nevysvětlil, proč první opravy nestačily, a autoři to neodhadují.

Skóre: všechny následující hodnoty přidělilo VulDB jako CVE Numbering Authority, organizace vydávající daná CVE. NVD je přebírá, vlastní skóre nezveřejnilo.

CVE-2026-105133: CVSS 3.1 7,3, vysoká závažnost; vektor AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L. CVSS 4.0 5,5, střední závažnost.
CVE-2026-105134: CVSS 3.1 10,0, kritická závažnost; vektor AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. CVSS 4.0 9,3, kritická závažnost.

Vektor druhé chyby popisuje síťově dostupnou slabinu AV:N s nízkou složitostí AC:L, bez oprávnění a zásahu uživatele PR:N/UI:N a s vysokým dopadem na důvěrnost, integritu i dostupnost. Změna rozsahu S:C znamená zásah do prostředků mimo samotnou zranitelnou komponentu.

NVD ani MDR neuvádějí úroveň oprávnění vložených příkazů. Autoři ji proto netvrdí.

Pozorovaná příprava: útočníci umisťovali navazující PowerShell na subdoménu veřejné služby pro statické weby. Takto připravený kód si napadený server stahoval v dalším kroku. Pozorované adresy byly hxxps://captcha-eyw[.]pages[.]dev/challenges.ps1 a hxxps://captcha-eyw[.]pages[.]dev/install.ps1. V prvních dvou incidentech zkoušeli také .cmd v C:\Users\Public, kam může zapisovat každý místní uživatel, a proto jde o běžné odkládací místo. Ve druhém incidentu obfuskovaný PowerShell instaloval a nastavoval OpenSSH. Rozbor nepublikuje hashe ani cesty webových shellů, protože data MDR nepodporují stabilní seznam.

Co dělat

Následující kroky rozvádějí okamžité úkony z úvodu.

1. Určete ohrožené systémy

Sepište všechny servery AhsayCBS včetně těch spravovaných dodavatelem. Na každém ověřte sestavení. V konzoli otevřete System Settings > License > Update License, kde je Product Version. Ahsay tuto cestu dokumentuje pro verze 7.5 a vyšší na všech platformách v KB5009 ze září 2025. Verze má čtyři části, například 9.8.5.1. Porovnávejte tedy celé číslo s v10.3.4.45 nebo v9.15.2.70.

Opraven je pouze server s v10.3.4.45 či vyšší pro v10 nebo v9.15.2.70 či vyšší pro v7, v8 a v9. Tvrzení „už jsme aktualizovali“ nestačí. v10.3.4.0 a v9.15.2.59 zůstávají zranitelné: aktualizujte je a prověřte kompromitaci.

Potom zkontrolujte dosažitelnost webové správy z internetu a nedůvěryhodných sítí. Projděte firewall a pravidla NAT mapující vnější adresy na server a proveďte test z vnější sítě.

2. Opravte nebo omezte přístup

Použijte hotfix pro svou verzi z oznámení Ahsay, které může vyžadovat účet podpory: v10.3.4.45 pro v10 nebo v9.15.2.70 pro v7 až v9. Hotfix je cílená aktualizace vydaná mimo běžný cyklus. Poté server podle pokynů výrobce restartujte.

Oznámení neuvádí náhradní řešení. Pokud hotfix nelze nasadit hned, Bitdefender doporučuje dočasně omezit webovou správu na známé administrační sítě. Jde o doporučení Bitdefenderu, nikoli výrobce. Snižuje vystavení, ale neodstraňuje zranitelnost.

Oprava uzavře vstup. Neodstraní však dříve zavedené webové shelly, skripty ani přetrvání. Pokračujte proto krokem 3 bez ohledu na stav aktualizací.

3. Prověřte předchozí kompromitaci

Prohledávejte nejméně období od 4. října 2026, kdy byly CVE zveřejněny v NVD.

Názvy souborů a nástroje se lišily. Hledejte proto chování, nikoli pouze konkrétní artefakty:

Nové či nedávno změněné JSP a jiné skripty ve webových adresářích AhsayCBS, které jste nenasadili.
Příkazové shelly nebo PowerShell spuštěné jako potomci služby AhsayCBS.
PowerShell stahující skripty z vnějších hostingů včetně níže uvedených adres.
Soubory .cmd v C:\Users\Public, které jste nevytvořili.
Nově instalované či nastavené OpenSSH, zejména přes obfuskovaný PowerShell, a účty se změnou oprávnění od 4. října.
Nové služby Windows, naplánované úlohy a další mechanismy přetrvání od 4. října.
Odchozí spojení na uvedené C2 adresy. C2, command and control, jsou stroje útočníků poskytující pokyny napadeným systémům.
Přístup k úložištím přihlašovacích údajů nebo konfiguracím s uloženými hesly.

Při známkách kompromitace považujte server za nedůvěryhodný. Změňte přístupové údaje uložené na něm nebo z něj dosažitelné: administrátory AhsayCBS, cílová zálohovací úložiště, servisní účty i doménové údaje použité či uložené v mezipaměti hostitele. Samotný rozbor není důvodem měnit údaje, které se serverem nemají žádnou vazbu.

4. Průběžně monitorujte

I po opravě sledujte potomky zálohovací služby, nové skripty ve webových složkách, soubory v C:\Users\Public, nové vzdálené služby jako OpenSSH, jiné služby, naplánované úlohy a nečekaná odchozí spojení. Podle MDR může řetězec používat více aktérů, takže statický seznam z jednoho případu další nepokryje. Sledujte aktualizace oznámení Ahsay: první oprava už byla jednou nahrazena.

5. Nečekejte na viditelné škody

Ticho neznamená čistý systém. Výzkum ransomwaru Bitdefenderu popisuje odložené útoky: mezi průnikem a dalším krokem mohou uplynout dny či týdny a ruční fáze může po první automatizované vlně trvat týdny až měsíce. Popisuje to také materiál Bitdefender TechZone Stopping Ransomware. Zprostředkovatelé počátečního přístupu prodávají vstup do sítí ransomwarovým skupinám bez vazby na původní průnik. Dosud nepoužitý webový shell či nová vzdálená služba nejsou neškodné: přístup může čekat na pozdější využití, nasazení těžařů nebo prodej jiné skupině. MDR konkrétní cíl těchto incidentů neurčil. Při plánování počítejte s tím, že útočník čeká na příležitost přístup využít.

Byl-li server kdykoli od 4. října 2026 dostupný a neopravený, absence škod neznamená bezpečí. Dokončete prověření z kroku 3 i bez viditelných příznaků. Každý nález řešte jako aktivní průnik, nikoli neškodný pozůstatek.

Indikátory kompromitace

Následující ukazatele pocházejí z vyšetřování MDR. Jde o dosud pozorované hodnoty, nikoli úplný detekční seznam. MDR doporučuje sledovat především chování po zneužití.