AhsayCBS: útočníci zneužívajú kritické chyby zálohovacieho servera na prevzatie…

Čo sa stalo

AhsayCBS (Ahsay Cloud Backup Server) je serverová časť zálohovacieho softvéru singapurskej firmy Ahsay. Slúži ako centrálna konzola, v ktorej správcovia riadia zálohy, používateľov a zálohovacie pravidlá. Používajú ho najmä poskytovatelia IT služieb (MSP) a systémoví integrátori, ktorí cez neho zálohujú dáta svojich zákazníkov.

Dňa 4. októbra 2026 boli zverejnené dve zraniteľnosti. CVE-2026-105133 umožňuje obísť prihlásenie a CVE-2026-105134 umožňuje spustiť na serveri príkazy operačného systému. Bezpečnostná firma Huntress zaznamenala ich zneužívanie od 7. októbra 2026 a do 8. októbra videla útoky na päť organizácií. Útočníci chyby kombinujú: najprv obídu prihlásenie, potom spustia vlastný kód.

Ahsay začal od partnerov dostávať hlásenia o neoprávnenom prístupe 9. októbra 2026 a opravy (hotfixy) vydal 10. a 12. októbra. Dňa 12. októbra zároveň oznámil, že predchádzajúce záplaty 9.15.2.59 a 10.3.4.0 chyby úplne neodstránili. Podľa The Hacker News boli chyby zneužívané ako zero-day, teda skôr, než existovala oprava.

Americká agentúra CISA zaradila obe chyby 14. októbra 2026 do katalógu aktívne zneužívaných zraniteľností. Európska databáza zraniteľností EUVD ich vedie ako zneužívané od toho istého dňa.

Prečo je to nebezpečné

Prvá chyba (CVE-2026-105133) je chyba overovania totožnosti. Predstavte si vrátnika, ktorý má kontrolovať preukazy, no za istých okolností pustí dnu aj človeka s vymysleným preukazom. Druhá chyba (CVE-2026-105134) je takzvaná injekcia príkazov: server prevezme údaj zvonku a omylom ho nechá vykonať operačný systém ako príkaz. Spolu dávajú útočníkovi cestu dnu aj kľúče od všetkého.

Útok ide cez internet na webové rozhranie AhsayCBS a útočník nepotrebuje prihlásenie ani spoluprácu používateľa. Huntress pozoroval, že útočníci získali na serveroch s Windows oprávnenia NT AUTHORITY\SYSTEM, teda najvyššie možné. Nasadili webshelly (skryté stránky na ovládanie servera), ťažiarov kryptomeny Monero maskovaných ako Microsoft Edge, nástroje na tunelovanie a programy na vzdialený prístup.

Zálohovací server je pre útočníka mimoriadne cenný. Obsahuje dáta zákazníkov a často aj prístupové údaje k hypervízorom, úložiskám a doménovým účtom. Huntress v jednom prostredí videl, ako sa útočník pokúšal vytiahnuť uložené heslá aj zo susedného servera Veeam. CISA zatiaľ neuvádza, či chyby zneužívajú vydieračské skupiny (ransomware).

Skóre CVSS (od 0 do 10) vyjadruje závažnosť chyby. CVE-2026-105134 má najvyššie možné skóre 10,0 a CVE-2026-105133 má 7,3. Obe hodnotenia pridelila organizácia VulDB, ktorá chyby zaregistrovala, nie NVD. EPSS odhaduje pravdepodobnosť zneužitia v najbližších 30 dňoch: k 13. novembru 2026 je to približne 82 % a 84 %, čo je viac ako pri 99 % všetkých známych zraniteľností.

Katalóg CISA KEV je zoznam chýb, ktoré sa preukázateľne zneužívajú. Americké federálne úrady mali tieto chyby ošetriť do 17. októbra 2026, teda len tri dni po zaradení.

Koho sa to týka

Zasiahnuté sú servery AhsayCBS týchto verzií:

AhsayCBS v7, v8 a v9 do verzie 9.15.2.69 vrátane
AhsayCBS v10 do verzie 10.3.4.44 vrátane
aj servery s prvými záplatami 9.15.2.59 alebo 10.3.4.0, ktoré chyby úplne neodstránili

Typicky ide o zálohovacie servery poskytovateľov IT služieb, ktoré prijímajú zálohy od zákazníkov cez internet, a preto majú webové rozhranie verejne dostupné. Podľa pokynov Ahsay beží AhsayCBS na Windows aj Linuxe. Útoky, ktoré opísal Huntress, sa týkali serverov s Windows.

Ak vaša firma iba posiela zálohy k poskytovateľovi, ktorý používa Ahsay, zraniteľný je server poskytovateľa. Výrobca ani Huntress neuvádzajú, že by boli zasiahnuté klientske zálohovacie aplikácie. Poskytovateľa sa však opýtajte, či server aktualizoval a skontroloval, pretože na ňom ležia vaše dáta.

Ako zistiť, či ste zasiahnutí

Verziu si overte v administrátorskej webovej konzole AhsayCBS a porovnajte ju so zoznamom vyššie. Na serveri s Windows môžete v PowerShelli bezpečne, len čítaním, zistiť, či a odkiaľ služba AhsayCBS beží:

Get-CimInstance Win32_Service | Where-Object { $_.PathName -like "*cbssvc*" } | Select-Object Name, State, PathName

Nainštalovanú verziu môže ukázať aj zoznam programov. Hotfix sa v ňom však nemusí prejaviť, rozhodujúca je konzola:

Get-ItemProperty HKLM:\Software\Microsoft\Windows\CurrentVersion\Uninstall\*, HKLM:\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall\* | Where-Object { $_.DisplayName -like "*Ahsay*" } | Select-Object DisplayName, DisplayVersion

Rovnako dôležité je zistiť, či je konzola dostupná z internetu. Pozrite sa do pravidiel firewallu a presmerovania portov (NAT) na hraničnom smerovači. Ak sa na webové rozhranie AhsayCBS dá pripojiť zvonku bez VPN, server je vystavený útoku.

Ako to opraviť

Ahsay vydal opravné balíky (hotfixy): 10.3.4.45 pre v10 a 9.15.2.70 pre v7, v8 a v9. Stiahnuť ich môžu len partneri s účtom na partnerskom portáli Ahsay. Podľa The Hacker News vydal Ahsay neskôr aj verziu 10.3.6.1 s ďalším bezpečnostným sprísnením a odporúča partnerom nasadiť najnovšie opravy.

Postupujte v tomto poradí:

Okamžite obmedzte prístup k webovému rozhraniu AhsayCBS len na dôveryhodné IP adresy alebo cez VPN. Toto dočasné opatrenie odporúča Huntress. Ak sa na server pripájajú zákazníci so zálohami, zohľadnite ich adresy, aby zálohy neprestali fungovať.
Skontrolujte server na znaky napadnutia (pozri ďalšiu sekciu). Ak nájdete stopy, samotná aktualizácia nestačí.
Na partnerskom portáli Ahsay stiahnite hotfix podľa vašej hlavnej verzie: 10.3.4.45 pre v10, 9.15.2.70 pre v7, v8 a v9.
Pred inštaláciou si zálohujte konfiguráciu servera a hotfix nainštalujte podľa pokynov výrobcu.
Po inštalácii server reštartujte, výrobca to výslovne vyžaduje.
V konzole overte, že beží opravená verzia, a zvážte prechod na 10.3.6.1.

Ak ste nasadili prvé záplaty 9.15.2.59 alebo 10.3.4.0, server nie je chránený. Ak vám server spravuje dodávateľ, požiadajte ho o písomné potvrdenie verzie.

Čo ak už ste mohli byť napadnutí

Útoky prebiehali ešte pred vydaním opráv. Ak bol váš server dostupný z internetu, skontrolujte ho aj po aktualizácii. Ahsay a Huntress uvádzajú tieto stopy:

priečinky v koreni disku ako ahsay_ts, ahsay_t8, ahsay_t9, ahsay_t20, ahsay_t21, srv, user, opt
súbory .jsp s náhodnými názvami (napr. 75bc584d292933ad.jsp) alebo priečinky ako xtj7iu, kje74x, 103y9r v %CBS%\webapps (inštalačný priečinok AhsayCBS)
neznáme RPS receivery a neznáme účty typu „Admin“ v konzole
služba MicrosoftEdgeUpdateSvc, súbory msedge.exe, edge.exe, Taskgmr.ps1, WinRing0x64.sys v Temp, úloha s kvm-agent.exe, výnimky v Microsoft Defender
podprocesy cbssvcX64.exe, nečakané AnyDesk, Atera, Splashtop, GOST, Chisel a spojenia na imagefiles-backup.oss-ap-southeast-7.aliyuncs[.]com, creepexplosiondarknight[.]com či port 8029

Get-ChildItem C:\ -Directory | Select-Object Name, CreationTime
Get-Service MicrosoftEdgeUpdateSvc -ErrorAction SilentlyContinue
Get-MpPreference | Select-Object ExclusionPath, ExclusionProcess

Pri akejkoľvek stope server nečistite ručne. Ahsay odporúča preinštalovať systém, nasadiť najnovšiu AhsayCBS a obnoviť konfiguráciu z Auto Save aspoň deň staršej ako prvé podozrivé súbory. Zmeňte heslá uložené na serveri a prizvite odborníka na incidenty.

Zdroje

Články zostavuje AI agent z verejných zdrojov (výrobcovia, CISA, ENISA, NVD, SK-CERT, NÚKIB) a čísla verzií aj CVE voči nim automaticky overuje. Pred zásahom do produkcie si postup vždy overte v bulletine výrobcu.

AhsayCBS: útočníci zneužívajú kritické chyby zálohovacieho servera na prevzatie kontroly