A Huntress biztonsági kutatói szerint támadók két sérülékenységet kihasználva vesznek át AhsayCBS mentési szervereket. Az Ahsay 2026. október 12-én frissített tájékoztatója alapján már elérhetők a javított változatok. Az eset magyar KKV-k és informatikai szolgáltatóik számára azért fontos, mert a mentési rendszer kompromittálása a helyreállítás lehetőségét is veszélyeztetheti.
Mentési központból támadási felület
Az AhsayCBS olyan központi rendszer, amellyel vállalkozások, informatikai szolgáltatók és rendszerintegrátorok több ügyfél, szerver vagy munkaállomás mentéseit kezelhetik. A kezelőfelület ezért nemcsak adatokat, hanem a mentési infrastruktúrához szükséges jogosultságokat és beállításokat is elérhet.
A két érintett sérülékenység a CVE-2026-105133 és a CVE-2026-105134 azonosítót kapta. Együttes kihasználásukkal a támadó hitelesítés nélkül kódfuttatást érhet el a sebezhető szerveren.
A Huntress október 7-én észlelte az aktív kihasználást. Október 8-ig öt megtámadott szervezetet azonosított. A kutatók webes hátsó ajtókat és XMRig kriptobányász programot találtak; utóbbi Microsoft Edge-folyamatnak álcázta magát. Huntress
Mely változatokat kell frissíteni?
A kutatók vizsgálata szerint az AhsayCBS 10.3.4 és a korábbi 10-es verziók is érintettek voltak. Ez azért lényeges, mert a gyártó korábbi közlése alapján úgy tűnhetett, hogy a 10.3.4.0 már megfelelő védelmet biztosít.
Az Ahsay későbbi állapotjelentése szerint a sérülékenységeket a következő gyorsjavítások kezelik:
- AhsayCBS 10-es sorozat: 10.3.4.45
- AhsayCBS 7-es, 8-as és 9-es sorozat: 9.15.2.70
A gyártó azt közölte, hogy a javításokat október 10-én tette elérhetővé. A Huntress saját vizsgálattal is megerősítette, hogy a 10.3.4.45-ös gyorsjavítás lezárja az általuk megfigyelt kezdeti támadási lehetőséget. Ez tehát nem későbbre bejelentett fejlesztés: a javítás már letölthető az Ahsay partnerei számára. Huntress
A frissítés önmagában nem mindig elegendő
Ha a szerver kezelőfelülete elérhető volt az internetről, nem elég csak feltelepíteni a javítást. Ellenőrizni kell, történt-e korábbi behatolás, jelentek-e meg ismeretlen fájlok vagy folyamatok, illetve módosultak-e a mentési beállítások és hozzáférések.
Bizonyított fertőzésnél a rendszer tiszta forrásból történő újratelepítése lehet indokolt. A támadó által hátrahagyott hozzáférés ugyanis a sérülékenység javítása után is működhet. A vizsgálat előtt a bizonyítékul szolgáló naplókat és rendszeradatokat meg kell őrizni.
Mit tegyen egy KKV?
Elsőként azt kell tisztázni, használ-e a vállalkozás vagy informatikai szolgáltatója AhsayCBS rendszert. Ha igen, írásban érdemes visszaigazolást kérni a telepített verzióról, a gyorsjavítás alkalmazásának időpontjáról és az esetleges kompromittálódás ellenőrzéséről.
A kezelőfelület internetes elérését a szükséges hálózatokra vagy VPN-kapcsolatra célszerű korlátozni. Végül próbával is ellenőrizni kell, hogy a mentések nemcsak elkészülnek, hanem egy elkülönített környezetben valóban visszaállíthatók.
Források: