AhsayCBS: útočníci zneužívají kritické chyby zálohovacího serveru k převzetí ko…

Co se stalo

AhsayCBS (Ahsay Cloud Backup Server) je serverová část zálohovacího softwaru singapurské firmy Ahsay. Slouží jako centrální konzole, ve které správci řídí zálohy, uživatele a zálohovací pravidla. Používají ho hlavně poskytovatelé IT služeb (MSP) a systémoví integrátoři, kteří přes něj zálohují data svých zákazníků.

Dne 4. října 2026 byly zveřejněny dvě zranitelnosti. CVE-2026-105133 umožňuje obejít přihlášení a CVE-2026-105134 umožňuje spustit na serveru příkazy operačního systému. Bezpečnostní firma Huntress zaznamenala jejich zneužívání od 7. října 2026 a do 8. října viděla útoky na pět organizací. Útočníci chyby kombinují: nejdřív obejdou přihlášení, pak spustí vlastní kód.

Ahsay začal od partnerů dostávat hlášení o neoprávněném přístupu 9. října 2026 a opravy (hotfixy) vydal 10. a 12. října. Dne 12. října zároveň oznámil, že předchozí záplaty 9.15.2.59 a 10.3.4.0 chyby zcela neodstranily. Podle The Hacker News byly chyby zneužívány jako zero-day, tedy dřív, než existovala oprava.

Americká agentura CISA zařadila obě chyby 14. října 2026 do katalogu aktivně zneužívaných zranitelností. Evropská databáze zranitelností EUVD je vede jako zneužívané od téhož dne.

Proč je to nebezpečné

První chyba (CVE-2026-105133) je chyba ověřování totožnosti. Představte si vrátného, který má kontrolovat průkazy, ale za určitých okolností pustí dovnitř i člověka s vymyšleným průkazem. Druhá chyba (CVE-2026-105134) je takzvané vkládání příkazů: server převezme údaj zvenku a omylem ho nechá vykonat operační systém jako příkaz. Dohromady dávají útočníkovi cestu dovnitř i klíče od všeho.

Útok vede přes internet na webové rozhraní AhsayCBS a útočník nepotřebuje přihlášení ani součinnost uživatele. Huntress pozoroval, že útočníci získali na serverech s Windows oprávnění NT AUTHORITY\SYSTEM, tedy nejvyšší možná. Nasadili webshelly (skryté stránky k ovládání serveru), těžaře kryptoměny Monero maskované jako Microsoft Edge, nástroje pro tunelování a programy pro vzdálený přístup.

Zálohovací server je pro útočníka mimořádně cenný. Obsahuje data zákazníků a často i přístupové údaje k hypervizorům, úložištím a doménovým účtům. Huntress v jednom prostředí viděl, jak se útočník pokoušel vytáhnout uložená hesla i ze sousedního serveru Veeam. CISA zatím neuvádí, zda chyby zneužívají vyděračské skupiny (ransomware).

Skóre CVSS (od 0 do 10) vyjadřuje závažnost chyby. CVE-2026-105134 má nejvyšší možné skóre 10,0 a CVE-2026-105133 má 7,3. Obě hodnocení přidělila organizace VulDB, která chyby zaregistrovala, nikoli NVD. EPSS odhaduje pravděpodobnost zneužití v příštích 30 dnech: k 13. listopadu 2026 je to přibližně 82 % a 84 %, což je víc než u 99 % všech známých zranitelností.

Katalog CISA KEV je seznam chyb, které se prokazatelně zneužívají. Americké federální úřady měly tyto chyby ošetřit do 17. října 2026, tedy jen tři dny po zařazení.

Koho se to týká

Zasaženy jsou servery AhsayCBS těchto verzí:

AhsayCBS v7, v8 a v9 do verze 9.15.2.69 včetně
AhsayCBS v10 do verze 10.3.4.44 včetně
i servery s prvními záplatami 9.15.2.59 nebo 10.3.4.0, které chyby zcela neodstranily

Typicky jde o zálohovací servery poskytovatelů IT služeb, které přijímají zálohy od zákazníků přes internet, a proto mají webové rozhraní veřejně dostupné. Podle pokynů Ahsay běží AhsayCBS na Windows i Linuxu. Útoky, které popsal Huntress, se týkaly serverů s Windows.

Pokud vaše firma pouze posílá zálohy k poskytovateli, který používá Ahsay, zranitelný je server poskytovatele. Výrobce ani Huntress neuvádějí, že by byly zasaženy klientské zálohovací aplikace. Poskytovatele se ale zeptejte, zda server aktualizoval a zkontroloval, protože na něm leží vaše data.

Jak zjistit, zda jste zasaženi

Verzi si ověřte v administrátorské webové konzoli AhsayCBS a porovnejte ji se seznamem výše. Na serveru s Windows můžete v PowerShellu bezpečně, pouze čtením, zjistit, zda a odkud služba AhsayCBS běží:

Get-CimInstance Win32_Service | Where-Object { $_.PathName -like "*cbssvc*" } | Select-Object Name, State, PathName

Nainstalovanou verzi může ukázat i seznam programů. Hotfix se v něm ale nemusí projevit, rozhodující je konzole:

Get-ItemProperty HKLM:\Software\Microsoft\Windows\CurrentVersion\Uninstall\*, HKLM:\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall\* | Where-Object { $_.DisplayName -like "*Ahsay*" } | Select-Object DisplayName, DisplayVersion

Stejně důležité je zjistit, zda je konzole dostupná z internetu. Podívejte se do pravidel firewallu a přesměrování portů (NAT) na hraničním routeru. Pokud se na webové rozhraní AhsayCBS dá připojit zvenku bez VPN, server je vystaven útoku.

Jak to opravit

Ahsay vydal opravné balíčky (hotfixy): 10.3.4.45 pro v10 a 9.15.2.70 pro v7, v8 a v9. Stáhnout je mohou jen partneři s účtem na partnerském portálu Ahsay. Podle The Hacker News vydal Ahsay později i verzi 10.3.6.1 s dalším bezpečnostním zpřísněním a doporučuje partnerům nasadit nejnovější opravy.

Postupujte v tomto pořadí:

Okamžitě omezte přístup k webovému rozhraní AhsayCBS jen na důvěryhodné IP adresy nebo přes VPN. Toto dočasné opatření doporučuje Huntress. Pokud se k serveru připojují zákazníci se zálohami, zohledněte jejich adresy, aby zálohy nepřestaly fungovat.
Zkontrolujte server na známky napadení (viz další sekce). Pokud najdete stopy, samotná aktualizace nestačí.
Na partnerském portálu Ahsay stáhněte hotfix podle vaší hlavní verze: 10.3.4.45 pro v10, 9.15.2.70 pro v7, v8 a v9.
Před instalací si zálohujte konfiguraci serveru a hotfix nainstalujte podle pokynů výrobce.
Po instalaci server restartujte, výrobce to výslovně vyžaduje.
V konzoli ověřte, že běží opravená verze, a zvažte přechod na 10.3.6.1.

Pokud jste nasadili první záplaty 9.15.2.59 nebo 10.3.4.0, server chráněn není. Pokud vám server spravuje dodavatel, požádejte ho o písemné potvrzení verze.

Co když už jste mohli být napadeni

Útoky probíhaly ještě před vydáním oprav. Pokud byl váš server dostupný z internetu, zkontrolujte ho i po aktualizaci. Ahsay a Huntress uvádějí tyto stopy:

složky v kořeni disku jako ahsay_ts, ahsay_t8, ahsay_t9, ahsay_t20, ahsay_t21, srv, user, opt
soubory .jsp s náhodnými názvy (např. 75bc584d292933ad.jsp) nebo složky jako xtj7iu, kje74x, 103y9r v %CBS%\webapps (instalační složka AhsayCBS)
neznámé RPS receivery a neznámé účty typu „Admin“ v konzoli
služba MicrosoftEdgeUpdateSvc, soubory msedge.exe, edge.exe, Taskgmr.ps1, WinRing0x64.sys v Temp, úloha s kvm-agent.exe, výjimky v Microsoft Defender
podprocesy cbssvcX64.exe, nečekané AnyDesk, Atera, Splashtop, GOST, Chisel a spojení na imagefiles-backup.oss-ap-southeast-7.aliyuncs[.]com, creepexplosiondarknight[.]com či port 8029

Get-ChildItem C:\ -Directory | Select-Object Name, CreationTime
Get-Service MicrosoftEdgeUpdateSvc -ErrorAction SilentlyContinue
Get-MpPreference | Select-Object ExclusionPath, ExclusionProcess

Při jakékoli stopě server nečistěte ručně. Ahsay doporučuje přeinstalovat systém, nasadit nejnovější AhsayCBS a obnovit konfiguraci z Auto Save alespoň den starší než první podezřelé soubory. Změňte hesla uložená na serveru a přizvěte odborníka na incidenty.

Zdroje

Články sestavuje AI agent z veřejných zdrojů (výrobci, CISA, ENISA, NVD, NÚKIB, SK-CERT) a čísla verzí i CVE proti nim automaticky ověřuje. Před zásahem do produkce si postup vždy ověřte v bulletinu výrobce.

AhsayCBS: útočníci zneužívají kritické chyby zálohovacího serveru k převzetí kontroly