Ahsay, aktif olarak sömürülen AhsayCBS yedekleme konsolu açıkları için ikinci hotfix turunu yayınladı

Ahsay, internete açık sunuculara karşı saldırganların halihazırda zincirleme kullandığı iki güvenlik açığını ilk yama turunun tam olarak çözmediğini kabul etmesinin ardından, AhsayCBS yedekleme yönetim konsolu için ikinci bir hotfix turunu yayınladı. 12 Ekim 2026 tarihli üretici duyurusunda, sürüm 10'daki müşteriler 10.3.4.45 hotfix'ine, 7 ile 9 arası sürümleri çalıştıranlar ise 9.15.2.70 sürümüne yönlendiriliyor; her ikisinin uygulanmasından sonra sunucunun yeniden başlatılması gerekiyor.

AhsayCBS, servis sağlayıcılarının müşterileri için yedekleme verilerini depolamak ve yönetmek amacıyla çalıştırdığı web konsoludur. Kampanyayı haberleştiren BleepingComputer'ın aktardığına göre platform genellikle yönetilen servis sağlayıcıları ve sistem entegratörleri tarafından işletiliyor; bu da tek bir ele geçirilmiş cihazın birden fazla şirketin kurtarma kopyalarını ortaya çıkarabileceği anlamına geliyor.

Bir çift gibi çalışan iki açık

NVD, iki kaydı 4 Ekim 2026'da yayınladı. CVE-2026-105133, checkSysPwd fonksiyonundaki hatalı kimlik doğrulama zafiyeti olup orta düzeyde değerlendirildi. CVE-2026-105134 ise Replication Receiver bileşeninin UpdateReceivers.do uç noktasındaki komut enjeksiyonu açığı olup kritik olarak derecelendirildi ve kimlik doğrulaması olmadan NT AUTHORITY/SYSTEM olarak kod çalıştırılmasına imkân veriyor. Derecelendirmeler ve teknik ayrıntılar 8 Ekim 2026'da yayımlanan Huntress araştırmasından geliyor.

Bypass, enjeksiyonun erişilebilir olmasını sağlayan şeydir. Kimlik doğrulama denetimi gerçek kimlik bilgileri yerine rastgele bir token kabul ediyor; böylece saldırganın isteği Replication Receiver API'sine kimliği doğrulanmış bir çağrıcı olarak ulaşıyor ve enjekte edilen komut, servisin ayrıcalıklarıyla çalışıyor. Kayıtlar bypass için CWE-287'ye, enjeksiyon için CWE-77 ve CWE-78'e karşılık geliyor; bu, tespit kuralı yazan herkes için önemli: yalnızca kritik tanımlayıcıya göre filtreleme, zinciri açan orta düzeyli açığı gözden kaçırıyor.

Aktif sömürü ve ele geçirme sonrası davranış

Huntress ilk saldırıları 7 Ekim 2026'da saat 23:20 UTC'de gördü ve ertesi güne kadar kendi müşteri tabanındaki beş kuruluş hedef alındı. Gözlemlenen saldırılarda saldırganlar kötü niyetli bir replication receiver yapılandırdı ve uygulamanın servis ettiği dizine bir JSP webshell yazdı. Taskgmr.ps1, msedge.exe, edge.exe ve config.json adlı payload'lar bir Alibaba Cloud nesne depolama sunucusundan indirildi. XMRig kripto para madencisi bir Microsoft Edge sürecine benzetilecek şekilde yeniden adlandırıldı ve MicrosoftEdgeUpdateSvc adlı bir servis üzerinden sürekli çalışır halde tutuldu; bu servis, Temp klasöründen SYSTEM ayrıcalıklarıyla çalışan değiştirilmiş bir Non-Sucking Service Manager ikili kopyası üzerine kurulmuştu. Saldırganlar ayrıca madencinin donanıma doğrudan erişebilmesi için meşru ama güvenlik açığı bulunan bir çekirdek sürücüsü olan WinRing0x64.sys'yi indirdi.

Madencilik mainly gizlemek için var olan bir betik, Görev Yöneticisi açıkken servisi askıya alıyor, pencere kapanınca yeniden başlatıyor ve Görev Yöneticisi'ni yerel saatle 18:00'te ya da gece boyunca bir saat açık kaldıktan sonra sonlandırıyor. Huntress ihlal göstergeleri ve dört Sigma kuralı yayınladı.

Neden ikinci bir yama turu

BleepingComputer ve SecurityWeek, NVD kayıtlarında düzeltilmiş sürüm olarak 10.3.2'nin belirtildiğini, buna karşılık Huntress'ın 10.3.4'e kadar tüm sürümlerin hâlâ etkilendiğini tespit ettiğini aktardı. Ahsay'nın 12 Ekim tarihli açıklaması daha da ileri giderek, önceki v9.15.2.59 ve v10.3.4.0 yamalarının güvenlik açıklarını tam olarak ele almadığını açıkça söylüyor. Huntress daha sonra 10.3.4.45 hotfix'inin zincirin ilk giriş noktasını kapattığını, önceki sürüm 10 yapılarında var olan bu boşluğu bağımsız olarak doğruladı. Her iki hotfix de üreticinin partner portal girişinin arkasında duruyor.

CISA her iki açığı sömürülenler listesine ekledi

14 Ekim 2026'da CISA her iki kaydı, ABD federal kurumları için üç günlük bir süre ve diğer herkes için öncelik sinyali olan 17 Ekim düzeltme son tarihiyle Known Exploited Vulnerabilities kataloğuna ekledi. Komut enjeksiyonu kaydı adli inceleme gerektiriyor ve fidye yazılımı kullanımı bilinmiyor olarak kaydedilmiş durumda. Katalogda belirtilen düzeltme, üretici önlemlerini uygulamak, her varlığın internete açıklığını değerlendirmek ve önlem mevcut olmadığı durumlarda ürünü kullanmayı bırakmaktır. Bir yedekleme sunucusu için bu son çözüm, cihazı hizmet dışı bırakmak anlamına gelir.

Neden önemli

Aktif olarak sömürülen bir zincir için eksik bir yama, yavaş olandan daha kötü olabilir; çünkü ilk turu iyi niyetle uygulamış operatörler giriş noktası hâlâ açıkken kendilerini korunuyor sanabilir. Hedef, riskleri büyütüyor: konsol diğer şirketlerin sistemlerinin kurtarma kopyalarını tuttuğundan onu ele geçirmek, kurtarmanın en çok ihtiyaç duyulduğu anda geri yükleme yeteneğini ortadan kaldırıyor. Bu olay ayrıca doğrulama konusunda bir derstir. Açık kaydında listelenen düzeltilmiş sürüm, tek başına düzeltmenin çalıştığının kanıtı değildir; burada onay, canlı saldırılara dair telemetriye sahip üçüncü bir taraftan gelmiştir.

Operatörler şimdi ne yapmalı

Kaynaklar üç adıma işaret ediyor. Yönetim arayüzünü genel internetten kaldırın ve güvenilir adreslere ya da özel bir ağ yoluna kısıtlayın. Üreticinin belirttiği gibi, kurulu sürüme uyan hotfix'i uygulayın ve yeniden başlatın. Yayınlanmış herhangi bir gösterge varsa, Huntress ikincil arka kapıların uzun süreli kalıcılık için yerinde kalabileceği uyarısında bulunduğundan, ana bilgisayarı güvenilir bir yedekten yeniden inşa edin.