İçeriğe geç
Menü

AhsayCBS yedekleme sunucularındaki iki açık saldırılarda kullanılıyor, ilk yama işe yaramadı

Birlikte kullanıldığında giriş gerektirmeden komut çalıştırmaya izin veren iki açık, 7 Ekim'den beri yedekleme sunucularına web kabuğu ve kripto para madencisi yerleştirmek için kullanılıyor. Düzeltildiği söylenen sürümün de etkilendiği ortaya çıktı.

Kırmızı Ekip
  • 2 dk okuma
  • 5 kaynak

Kısaca

  • CISA, AhsayCBS'teki CVE-2026-105133 ve CVE-2026-105134'ü 14 Ekim'de aktif istismar edilen açıklar kataloğuna ekledi.
  • Ahsay, 10.3.4.0 sürümünün açıkları kapatmadığını doğruladı ve 10.3.4.45 numaralı acil düzeltmeyi yayımladı.

Hizmet sağlayıcıların müşterilerine yedekleme hizmeti sunmak için kullandığı AhsayCBS yazılımındaki iki açık saldırılarda kullanılıyor. CVE-2026-105133, sistem parolasını kontrol eden işlevdeki bir kimlik doğrulama hatası. CVE-2026-105134 ise yazılımın yedekleri başka sunuculara kopyalayan Replication Receiver bileşenindeki bir komut enjeksiyonu açığı. İkisi birlikte kullanıldığında uzaktaki bir saldırgan giriş yapmadan sunucuda komut çalıştırabiliyor. CVSS 4.0 puanları sırasıyla 5.5 ve 9.3.

Açıklar 4 Ekim’de yayımlandı. Güvenlik şirketi Huntress, ilk saldırıyı 7 Ekim gecesi gördü ve 8 Ekim itibarıyla beş kurumun hedef alındığını bildirdi. Saldırganlar sunuculara web kabuğu bıraktı ve Microsoft Edge kılığına sokulmuş bir XMRig kripto para madencisi kurdu. Madenci, Görev Yöneticisi açıldığında kendini durduracak şekilde ayarlanmıştı. En az bir olayda, donanıma çekirdek düzeyinde erişmek için eski ve açığı bilinen bir sürücü de indirildi.

İşin can sıkıcı tarafı, ilk yamanın açıkları kapatmamış olması. NVD kayıtları başta 10.3.4 sürümünü etkilenmeyen sürüm olarak gösteriyordu, ancak Huntress bu sürümün de saldırıya açık olduğunu gösterdi. Ahsay 10 Ekim’de 10.3.4.0 sürümünün açıkları yeterince gidermediğini doğruladı ve 10.3.4.45 numaralı acil düzeltmeyi yayımladı. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) da iki açığı 14 Ekim’de aktif istismar edilen açıklar kataloğuna ekledi ve ABD federal kurumlarına 17 Ekim’e kadar süre verdi.

Önerilen önlemler

AhsayCBS 10 sürümünü kullananların, Ahsay’in iş ortağı portalından 10.3.4.45 düzeltmesini kurup sunucuyu yeniden başlatması gerekiyor. 10.3.4.0’a geçmiş olmak yeterli değil. Düzeltmenin iki açığı da tamamen kapattığını gösteren bağımsız bir test henüz yayımlanmadığı için, Huntress’in önerdiği gibi yönetim arayüzüne erişimin yalnızca güvenilir IP adresleriyle ya da VPN ile sınırlanması da yerinde olur. Sunucularda tanınmayan web kabuğu dosyaları, edge.exe adlı beklenmedik bir işlem ve Taskgmr.ps1 adlı bir PowerShell betiği aranmalı.

Kaynaklar

Bu konuda