Backupsoftware staat vaak niet bovenaan de prioriteitenlijst, maar precies daarom is het een aantrekkelijk doelwit voor aanvallers. Huntress meldt dat er inmiddels AhsayCBS RCE-kwetsbaarheden in het wild worden benut. Het gaat om twee beveiligingslekken in AhsayCBS die (zonder patch) kunnen leiden tot remote code execution en het uitvoeren van OS-commands.
In dit artikel lees je wat er bekend is over de kwetsbaarheden, welke componenten en routes volgens Huntress worden misbruikt, en welke maatregelen je vandaag nog kunt nemen om de kans op schade te verkleinen.
Wat is er aan de hand met AhsayCBS?
AhsayCBS is een gecentraliseerde cloudback-up oplossing van Ahsay Systems. Met deze tool kun je onder meer back-upbeleid, opslag en gebruikersbeheer beheren. Volgens Huntress wordt het product veel gebruikt door MSP’s (managed service providers) en systeemintegratoren.
De meldingen richten zich op de beheerzijde van de oplossing. Juist daar wil je daarom extra kritisch zijn op toegang, segmentatie en logging.
Welke kwetsbaarheden worden misbruikt?
De beveiligingsproblemen zijn geïdentificeerd als CVE-2026-105133 en CVE-2026-105134. Beide worden door Huntress gekoppeld aan het kunnen manipuleren van argumenten in bepaalde functies van het programma. Daarmee kunnen aanvallers authenticatie omzeilen en vervolgens OS-commands injecteren.
De kwetsbaarheden zijn eerder bekend geworden, nadat op 4 oktober exploitcode richting het publiek zou zijn vrijgegeven. Daarbij werd gewaarschuwd dat alle versies tot en met 10.3.2 getroffen waren.
Huntress stelt vervolgens dat aanvallers de lekken ondertussen ook actief misbruiken. Op basis van hun observaties is bovendien de nieuwste versie op dat moment (10.3.4) nog steeds kwetsbaar.
Hoe werkt de aanval volgens Huntress?
Volgens Huntress worden de twee bugs gecombineerd om op een doelserver toegang te krijgen en daarna willekeurige code uit te voeren. In elk geval zijn er volgens de meldingen meerdere organisaties geraakt; op 8 oktober waren er minimaal vijf doelwitten vastgesteld.
Een belangrijk detail is wat er gebeurt na de initiële toegang. Huntress beschrijft dat aanvallers unauthenticated remote code execution benutten en daarna webshells inzetten op systemen die extern bereikbaar zijn.
Ongeauthenticeerde RCE via een API-route
Specifiek voor CVE-2026-105134 wijst Huntress op misbruik met System privileges via een API van de Replication Receiver-component. Huntress licht toe dat de API een authenticatie-bypass kan bevatten, waarbij een willekeurige token in plaats van geldige credentials kan worden geaccepteerd.
Na succesvolle exploitatie zou een aanvaller een kwaadaardige receiver configureren en vervolgens een Java Server Page (JSP) webshell plaatsen in de applicatiemap die wordt bediend door de CBS-toepassing.
Welke payloads en follow-up activiteiten zagen we?
Huntress meldt dat aanvallers na het verkrijgen van toegang eerst verkenning doen. Daarna zetten ze payloads in die wijzen op crypto-mining, maar ook op langdurige controle over het systeem.
Concreet beschrijft Huntress dat aanvallers cryptominers inzetten, vermomd als Microsoft Edge. Daarnaast is er melding van een AI-ondersteunde PowerShell-script die Task Manager in de gaten houdt en deze beëindigt zodra die te lang open blijft.
Voor persistente toegang zouden aanvallers ook misbruik maken van een service die lijkt op een legitieme Edge-update. Huntress noemt daarbij dat het gaat om het gebruik van een aangepaste kopie van de legitieme tool NSSM (met een naam die oogt als msedge.exe) om de echte kwaadaardige component te blijven starten en bij uitval opnieuw te activeren.
In een aanval werd bovendien een legitieme maar kwetsbare kernel driver ingezet, WinRing0x64.sys. Met zo’n driver kan mining met kernel-level toegang draaien, wat de impact kan vergroten omdat het in de praktijk moeilijker wordt om aanvallers te stoppen.
Waarom is blootstelling aan het internet zo riskant?
Een centrale waarschuwing van Huntress is dat de exploit gericht is op de extern toegankelijke webapp-service op de host. Dat betekent: als de beheerinterface direct toegankelijk is vanaf het internet, wordt het doelgebied groter.
Huntress adviseert daarom om de webtoegang tot de beheerinterface te beperken en de blootstelling te verminderen. Als dat niet kan met volledige blocking, dan is het minstens essentieel om toegang te beperken tot vertrouwde IP-adressen of om toegang te verplichten via een VPN.
Wat kun je nu doen? (praktische stappen)
Omdat Huntress aangeeft dat een patch nog niet beschikbaar is op het moment van de waarschuwing, draait de eerste verdedigingslijn om mitigatie. Hieronder staan maatregelen die direct helpen de kans op misbruik te verlagen.
- Beperk toegang tot de AhsayCBS-beheerinterface: maak webtoegang alleen beschikbaar voor trusted IP’s of alleen via VPN.
- Controleer op tekenen van compromittering: kijk specifiek naar sporen rond webshell-gedrag (bijvoorbeeld JSP-bestanden in applicatiemappen) en verdachte processen.
- Let op persistente mechanismen: zoek naar services die vermomd zijn als Edge/Edge Update en naar het gebruik van configuratietools die op NSSM lijken.
- Scan op crypto-mining-indicatoren: onderzoek of er tools draaien die als “Edge” worden vermomd, of dat er onverwachte resourcebelasting is.
- Hanteer segmentatie en monitoring: beperk beheerverkeer tot het netwerkdeel waar het hoort en zet logging strak aan zodat je snel afwijkingen ziet.
Als je wilt, kun je ook extra leren van eerdere meldingen op dit domein. Zo is er op de site aandacht voor andere situaties waarin kwetsbaarheden snel in het wild opduiken, bijvoorbeeld bij Citrix NetScaler: patch nu.
Relatie met bredere trends: snelle exploitatie na publicatie
Deze situatie past in een bredere ontwikkeling: zodra exploitcode beschikbaar is, kan het misbruiktempo hoog liggen. Huntress verwijst naar het moment waarop NIST waarschuwde over vrijgegeven exploitcode, en dat het daarna niet lang duurde voordat aanvallers de kwetsbaarheden actief inzetten.
Dat maakt ook security awareness en procesmaatregelen belangrijk: niet alleen patchen, maar ook zorgen dat je mitigatie en detectie klaar hebt staan op het moment dat updates nog ontbreken.
Conclusie
AhsayCBS RCE is op dit moment geen theoretisch risico. Huntress beschrijft dat aanvallers twee niet-gepatchte AhsayCBS-kwetsbaarheden combineren om authenticatie te omzeilen en remote code execution uit te voeren. Vervolgens plaatsen ze webshells, zetten ze crypto-miners in en proberen ze persistente toegang te bouwen via vermomde services en (in één geval) een kernel driver.
Omdat een patch niet onmiddellijk voorhanden is, is het beperken van toegang tot de beheerinterface een van de belangrijkste acties. Beperk internetblootstelling, gebruik VPN of trusted IP’s, en onderzoek je omgeving actief op compromittering.
Bron: https://www.securityweek.com/unpatched-ahsaycbs-vulnerabilities-exploited-in-the-wild/
