Was passiert
Die Cybersecurity-Firma Huntress berichtet von aktiven Angriffen auf die AhsayCBS-Backup-Lösung, bei denen zwei ungepatchtе Sicherheitslücken ausgenutzt werden. Die Lücken sind als CVE-2026-105133 und CVE-2026-105134 katalogisiert. Sie ermöglichen es Angreifern, die Authentifizierung zu umgehen und beliebige Betriebssystem-Befehle einzuschleusen.
AhsayCBS ist eine zentralisierte Cloud-Backup-Management-Konsole des Herstellers Ahsay Systems, die sich besonders bei MSPs (Managed Service Providern) und Systemintegratoren verbreitet hat. Die Software verwaltet Backup-Richtlinien, Speicher und Benutzerkonten.
Die Lücken wurden am 4. Oktober öffentlich gemacht, als das National Institute of Standards and Technology (NIST) warnte, dass Exploit-Code verfügbar ist. Damals waren alle AhsayCBS-Versionen bis 10.3.2 betroffen. Huntress warnte nun jedoch, dass auch die aktuelle Version 10.3.4 anfällig ist.
Den Angaben zufolge verketten Angreifer die beiden Fehler, um in anfällige Systeme einzudringen und beliebigen Code auszuführen. Huntress beobachtete, dass Bedrohungsakteure die Lücken zur unauthentifizierten Remote Code Execution nutzen und Webshells auf exponierten Systemen bereitstellen. Zum Zeitpunkt der Warnung (8. Oktober) waren mindestens fünf Organisationen angegriffen worden.
Die CVE-2026-105134 wird über eine API der Replication-Receiver-Komponente ausgenutzt. Diese API enthält einen Authentication-Bypass-Mechanismus, bei dem Angreifer einen zufälligen Token als gültige Anmeldedaten einsetzen können. Nach erfolgreichem Exploit konfigurieren die Akteure einen böswilligen Receiver und platzieren eine Java Server Page (JSP) als Webshell im Anwendungsverzeichnis.
Nach dem initialen Zugriff führten die Angreifer Aufklärungsaktionen durch und deploytеn XMRig-Cryptominer, die als Microsoft Edge getarnt wurden. Sie errichteten auch Persistenz, indem sie einen Windows-Dienst schufen, der sich als Microsoft Edge Update ausgab und eine modifizierte Kopie des NSSM-Utilities unter dem Namen msedge.exe mit System-Privilegien ausführt.
In einem Fall deploytеn die Angreifer auch WinRing0x64.sys, einen legitimen, aber anfälligen Kernel-Treiber, der dem Cryptominer Kernel-Level-Zugriff ermöglichte. Zusätzlich setzten sie ein KI-unterstütztes PowerShell-Skript ein, das den Task Manager überwacht und diesen beendet, wenn er zu lange geöffnet bleibt.
Einordnung
AhsayCBS ist eine weit verbreitete Management-Lösung in der Backup- und Disaster-Recovery-Infrastruktur mittlerer und großer Organisationen. Die Software wird typischerweise in Netzwerk-Umgebungen bereitgestellt, wo MSPs und Integratoren sie zur zentralen Verwaltung von Backup-Policies und Speicher-Ressourcen einsetzen. Eine solche Position macht AhsayCBS zu einem attraktiven Ziel: Wer die Management-Konsole kompromittiert, kann unter Umständen Zugriff auf mehrere Client-Systeme und deren Daten erlangen.
Die vorliegenden Lücken stellen dabei ein besonderes Problem dar. Sie erfordern weder komplexe Bedingungen noch höhere Privilegien – die reine Netzwerk-Erreichbarkeit der Web-Management-Schnittstelle reicht aus. Authentication-Bypasses sind bereits problematisch, aber die Kombination mit OS-Command-Injection führt direkt zu unauthentifizierter Remote Code Execution mit System-Privilegien. Das ist das höchste Gefährdungsniveau.
Das aktive Exploit-Szenario offenbart auch die Realität moderner Angriffsketten: Angreifer nutzen nicht nur die Lücke selbst, sondern bauen darauf mehrschichtige Persistenzmechanismen auf. Das NSSM-Utility ist ein legitimes Windows-Tool zur Prozessüberwachung; durch Umbenennung und Verschleierung als „Edge.exe" wird es weniger auffällig. Der Kernel-Treiber WinRing0x64.sys war eigentlich für legitime Zwecke gedacht, wird aber missbraucht, um dem Cryptominer Kernel-Zugriff zu verschaffen – das ist auch eine Taktik, um Anti-Malware-Software zu umgehen.
Dass bereits fünf Organisationen getroffen wurden und das Exploit-Kit öffentlich verfügbar ist, deutet darauf hin, dass diese Lücken in den nächsten Wochen verstärkt ausgenutzt werden dürften. Die fehlende Sicherheitspatch verstärft die Dringlichkeit – Mitigation ist derzeit nur durch externe Zugriffsbeschränkung möglich.
Was das bedeutet
Die zentrale Erkenntnis ist, dass Management-Konsolen von Backup- und Infrastructure-Tools unter verstärkter Beobachtung von Angreifern stehen. Diese Lösungen sind oftmals Zentralisierungspunkte mit hohen Privilegien und Zugriff auf sensible Systeme – und wenn sie nicht gepatcht sind, werden sie zur direkten Autobahn ins Netzwerk.
Organisationen, die AhsayCBS einsetzen, sollten sofort nicht die Wartung abwarten, sondern handeln: Die Netzwerk-Isolation der AhsayCBS-Management-Schnittstelle ist kein optionaler Härtungsschritt, sondern eine notwendige Notfall-Maßnahme. VPN-Zugriff oder IP-Whitelisting auf vertrauenswürdige Adressen reduzieren die Angriffsfläche erheblich. Parallel sollten Systeme auf Zeichen von Kompromittierungen überprüft werden – insbesondere auf JSP-Webshells im Anwendungsverzeichnis, verdächtige Windows-Dienste und Crypto-Mining-Prozesse. Die Zeit zwischen öffentlicher Exploit-Verfügbarkeit und weit verbreiteter Ausnutzung ist in der Regel kurz.
