AhsayCBS CVE-2026-105134: Backup-Server unter Angriff ohne Patch

Hinweis: Dieser Beitrag wurde mit KI-Unterstützung erstellt und automatisiert veröffentlicht.

Die Lücke AhsayCBS CVE-2026-105134 wird seit dem 7. Oktober 2026 aktiv ausgenutzt – und einen bestätigten Patch gibt es nach aktuellem Stand nicht. Betroffen ist die Verwaltungskonsole der Backup-Software von Ahsay. Sie läuft vor allem bei Managed Service Providern und Systemintegratoren. Wer darauf Kundendaten sichert, hat jetzt ein akutes Problem.

AhsayCBS CVE-2026-105134: Was bisher belegt ist

Am 4. Oktober 2026 erschienen zwei Schwachstellen zu AhsayCBS (Cloud Backup Server) in der NVD. Drei Tage später, am 7. Oktober um 23:20 UTC, sah das Security-Team von Huntress die ersten Angriffe. Bis zum 8. Oktober zählte Huntress mindestens fünf ins Visier genommene Organisationen. Die beiden Lücken greifen ineinander:

• CVE-2026-105133 – fehlerhafte Authentifizierung in der Funktion checkSysPwd (Datei com/ahsay/obs/api/ApiStructsAction.java). Über eine Manipulation des Parameters random lässt sich die Anmeldung umgehen.
• CVE-2026-105134 – OS-Command-Injection im Endpunkt /rps/api/json/UpdateReceivers.do der Komponente Replication Receiver. Ergebnis: Codeausführung ohne Anmeldung, und zwar als NT AUTHORITY\\SYSTEM.

Angreifer verketten beides – erst die Anmeldung umgehen, dann Code ausführen. Erst in dieser Kette wird es richtig gefährlich: CVE-2026-105134 ist kritisch bewertet, mit CVSS v3.1 10.0 beziehungsweise CVSS v4.0 9.3. Der Unterschied liegt in der CVSS-Version, nicht in der Quelle – beide Werte stammen vom CNA VulDB über die NVD. CVE-2026-105133 allein ist mit CVSS v4.0 5.5 (v3.1 7.3) nur mittelschwer.

Unangenehm ist der Patch-Stand. Die NVD listet bis heute nur Versionen bis 10.3.2 als betroffen und empfiehlt weiterhin das Update auf 10.3.4. Huntress hat am Abend des 8. Oktober (18:00 ET) jedoch festgestellt, dass auch 10.3.4 angreifbar ist, und Ahsay informiert. Ein Hersteller-Advisory zu den beiden CVEs ist bislang nicht auffindbar. Damit sind beide Lücken faktisch Zero-Days ohne verfügbaren Patch.

AD-Checkliste

Dein AD härten: 12 Sofortmaßnahmen

Das PDF mit Bordmitteln, PowerShell-Prüfbefehlen und 30-Tage-Reihenfolge – per Mail, sobald du deine Anmeldung zum Tech-&-Tacheles-Newsletter bestätigst.

E-Mail-Adresse *

Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.

Nach dem Einbruch: Webshell, Miner, Tarndienst

Die dokumentierte Nachlese ist unspektakulär – und genau deshalb interessant. Statt Ransomware landete in den beobachteten Fällen eine JSP-Webshell im Anwendungsverzeichnis, dazu ein XMRig-Miner, der als edge.exe auftritt. Die Persistenz läuft über einen Windows-Dienst namens MicrosoftEdgeUpdateSvc. Er startet eine veränderte Kopie des NSSM-Werkzeugs, getarnt als msedge.exe. Ein PowerShell-Skript (Taskgmr.ps1) prüft laufend, ob der Task-Manager offen ist, und stoppt den Miner-Dienst solange. In einem Fall lud die Gruppe zusätzlich den bekannt verwundbaren Treiber WinRing0x64.sys nach, um dem Miner Kernel-Zugriff auf die Hardware zu geben.

Was das für dich bedeutet

Nach 25 Jahren IT ist mein erster Gedanke bei so einer Meldung nicht der Miner, sondern die Position des Systems. Ein Backup-Server ist das Gegenteil eines beliebigen Servers: Er hält Zugangsdaten zu vielen anderen Maschinen, er darf per Design überall hin schreiben und lesen, und bei MSPs hängen daran gleich mehrere Kunden. Wer dort SYSTEM-Rechte bekommt, hat nicht eine Firma kompromittiert, sondern potenziell deren ganze Wiederherstellungsfähigkeit.

Der Kryptominer ist deshalb die gute Nachricht – und zugleich der Weckruf. Zugang in dieser Qualität wird selten lange für Monero verbrannt. Solche Einstiege wandern erfahrungsgemäß weiter an Gruppen, die damit Geld verdienen, indem sie zuerst die Sicherungen zerstören und dann verschlüsseln. Genau dieses Muster war erst vor einer Woche bei der Warlock-Ransomware über SharePoint zu sehen. Wer jetzt nur den Miner entfernt und den Fall abschließt, räumt die Spuren weg, nicht das Problem.

Dazu kommt: Es gibt nichts zu installieren. Das ist ungewohnt, denn der Reflex „Update einspielen“ greift hier nicht – und die NVD-Empfehlung, auf 10.3.4 zu aktualisieren, trägt nach dem Huntress-Befund nicht mehr. Es bleibt nur, die Angriffsfläche zu entfernen.

Sofortmaßnahmen – konkret

• Management-Oberfläche aus dem Internet nehmen. Der Angriff läuft über den extern erreichbaren Webdienst. Zugriff nur noch aus definierten IP-Bereichen oder über VPN. Das ist die wirksamste Einzelmaßnahme, weil sie ohne Patch funktioniert.
• Auf Kompromittierung prüfen, bevor aufgeräumt wird. Konkret: Kindprozesse von cbssvcX64.exe (so beobachtet) bzw. cbssvcX86.exe (von der Sigma-Regel mitabgedeckt), neue .jsp-Dateien im Webverzeichnis der Anwendung, der Dienst MicrosoftEdgeUpdateSvc sowie Dateien wie edge.exe, msedge.exe oder Taskgmr.ps1 in Temp-Ordnern. Huntress hat dafür vier Sigma-Regeln veröffentlicht.
• Bei Treffern neu aufsetzen, nicht reparieren. Huntress berichtet von zusätzlich versteckten Hintertüren. Ein Host, auf dem Angreifer SYSTEM hatten, gehört plattgemacht und aus einer vertrauenswürdigen Sicherung wiederhergestellt.
• Eine Kopie offline halten. Jede Sicherung, die nur über genau diesen Server erreichbar ist, fällt mit ihm. Eine getrennte, verschlüsselte Offline-Kopie ist der Unterschied zwischen Ärger und Totalverlust – welche Datenträger sich dafür eignen, habe ich im Ratgeber zu verschlüsselten USB-Sticks und externen SSDs zusammengestellt.
• Auch außerhalb der eigenen Liste suchen. AhsayCBS steht oft bei Dienstleistern oder Tochterfirmen. Ein Anruf beim IT-Partner ist heute sinnvoller als nächste Woche.

Quellen

• Huntress: Threat Actors Exploit Critical AhsayCBS Flaws to Drop Webshells and XMRig Cryptominer (8. Oktober 2026)
• NVD: CVE-2026-105134
• NVD: CVE-2026-105133
• SecurityWeek: Unpatched AhsayCBS Vulnerabilities Exploited in the Wild
• The Hacker News: Attackers Exploit AhsayCBS Flaws
• Huntress threat-intel: Sigma-Regeln AhsayCBS_XMRig_Miner