Ausgerechnet das System, das im Notfall retten soll, wird gerade zur offenen Tür. In AhsayCBS, der zentralen Verwaltungskonsole der Backup-Software Ahsay Cloud Backup Server, klaffen zwei Sicherheitslücken — und Angreifer nutzen sie bereits seit Tagen aktiv aus. Ein echter Patch, der die Lücke schließt, ist bis jetzt nicht aufgetaucht.
ZWEI LÜCKEN, EINE GEFÄHRLICHE KOMBINATION
Die beiden Schwachstellen tragen die Kennungen CVE-2026-105133 und CVE-2026-105134, beide erfasst am 4. Oktober 2026. Die erste sitzt in der Funktion checkSysPwd der API-Komponente und erlaubt eine fehlerhafte Authentifizierung (CVSS 7,3). Die zweite — und deutlich gefährlichere — steckt im Replication-Receiver-Endpoint /rps/api/json/UpdateReceivers.do: Über eine Manipulation des Parameters random lässt sich dort Betriebssystem-Befehlsausführung auslösen. Der CVSS-Wert dafür: 10,0 von 10 (Version 3.1) beziehungsweise 9,3 nach dem neueren CVSS-4.0-Maßstab — in beiden Fällen die höchste oder zweithöchste Einstufung, die es gibt.
Betroffen sind alle AhsayCBS-Versionen bis einschließlich 10.3.2. Der Angriff lässt sich komplett remote ausführen, braucht keine Benutzerinteraktion und keinen vorherigen Zugang.
GEFAHR! Die Angriffe laufen bereits seit über drei Tagen
Die Sicherheitsfirma Huntress beobachtet laut eigenem Bericht aktive Ausnutzung seit dem 7. Oktober 2026, 23:20 Uhr UTC. Die Angreifer setzen dabei auf ein bekanntes Muster: Sie legen JSP-Webshells auf den kompromittierten Servern ab, installieren einen XMRig-Krypto-Miner, der sich als Datei msedge.exe tarnt, schleusen PowerShell-Skripte zur Überwachung des Task-Managers ein und laden einen verwundbaren Kernel-Treiber nach, der weitere Rechteausweitungen ermöglicht.
Mit anderen Worten: Es geht hier nicht um einen theoretischen Proof-of-Concept, sondern um eine laufende, aktive Angriffswelle gegen Server, die eigentlich Daten schützen sollen.
DAS PATCH-PROBLEM: Vorsicht vor der falschen Entwarnung
Hier wird es für Admins besonders unangenehm. Mehrere Schwachstellen-Datenbanken listen Version 10.3.4 als angebliche Lösung. Ein Blick in die offiziellen Ahsay-Release-Notes zu genau dieser Version zeigt aber: 10.3.4 erschien bereits am 5. August 2026 — zwei Monate vor der Veröffentlichung der beiden CVEs — und die Release-Notes erwähnen weder die betroffenen Funktionen noch irgendeine sicherheitsrelevante Änderung an checkSysPwd oder dem Replication-Receiver. Die „Lösung“ in den Datenbanken ist also mit hoher Wahrscheinlichkeit ein automatisch generierter Platzhaltereintrag, keine verifizierte Reparatur. Huntress selbst schreibt unmissverständlich: „Until a patch is available, we recommend restricting access.“ Verlass dich also nicht auf die Versionsnummer allein.
WER BETROFFEN IST — UND WAS JETZT WIRKLICH HILFT
AhsayCBS ist keine Nischensoftware: Sie läuft bei Managed-Service-Providern, Webhostern und IT-Dienstleistern, die darüber ihren Kunden Backup-as-a-Service anbieten — oft unter eigener Marke, ohne dass die Software im Hintergrund für den Endkunden sichtbar ist. Wer selbst als kleiner Hoster oder IT-Dienstleister eine AhsayCBS-Instanz betreibt, sollte sofort handeln:
- Zugriff auf die Management-Oberfläche und insbesondere den Replication-Receiver-Endpoint auf vertrauenswürdige IP-Bereiche oder ein VPN beschränken.
- Server-Logs auf verdächtige Prozesse wie unbekannte
msedge.exe-Instanzen oder neue Scheduled Tasks prüfen. - Die Ahsay-Support-Kanäle und Release-Notes aktiv auf ein echtes Sicherheitsupdate beobachten, statt sich auf automatisch erzeugte Datenbankeinträge zu verlassen.