Singapur merkezli Ahsay Backup, kötü aktörler tarafından web shell ve XMRig kripto para madencisi bırakmak için istismar edilen AhsayCBS'teki iki güvenlik açığını gidermek üzere güvenlik güncellemesi yayınladı.
Söz konusu açıklar CVE-2026-105133 ve CVE-2026-105134. Bu iki zafiyet zincirlenerek kimlik doğrulamanın atlatılması ve etkilenen sistemlerde keyfi komut çalıştırılması mümkün.
Bu ayın başında yayımlanan bir raporda Huntress, tehdit aktörlerinin iki açığı birleştirerek kimlik doğrulamasız uzaktan kod çalıştırmayı başardığını ve açık sistemlere web shell ile kripto madenci yerleştirdiğini gözlemlediğini belirtti.
Açıkların Ağustos 2026'da yayımlanan AhsayCBS sürümleri 9.15.2.59 ve 10.3.4.0 ile giderildiği düşünülüyordu. Yazılım şirketi şimdi yamaların sorunu tamamen kapatmadığını doğruladı.
Düzeltmeler aşağıdaki sürümlerde sunuluyor:
AhsayCBS v10.3.4.45 hotfix
AhsayCBS v9.15.2.70 hotfix
"Bu risklerin ciddiyeti göz önüne alındığında, ortamınızı güvence altına almak ve müşterilerinizin verilerini korumak için derhal harekete geçmenizi şiddetle tavsiye ediyoruz," dedi Ahsay. "Yamayı uyguladıktan sonra sunucunuzu yeniden başlatın."
Güncellemede Huntress, AhsayCBS 10.3.4.45 hotfix'inin bu saldırı zincirinin ilk giriş noktasını giderdiğini bağımsız olarak doğruladığını kaydetti. Bu giriş noktası önceki v10 sürümlerinde hâlâ savunmasızdı.
Açıkların aktif olarak istismar edilmesi üzerine ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA, bunları Bilinen İstismar Edilen Zafiyetler kataloğuna ekledi ve federal kurumların 17 Ekim 2026'ya kadar yamaları uygulamalarını istedi.
