ב-7 באוקטובר, בשעה 23:20 UTC, נרשם ניסיון הניצול הראשון. רשומת ה-CVE שפורסמה שלושה ימים קודם לכן אומרת שמעבר לגרסה 10.3.4 פותר את הבעיה. אותה גרסה יצאה ב-5 באוגוסט, בהערות השחרור שלה אין סעיף אבטחה, ולפי חברת Huntress גם היא חשופה.

סקירה כללית

AhsayCBS היא קונסולת הניהול של שירות הגיבוי של Ahsay, ויושבת אצל ספקי שירות שמנהלים דרכה גיבויים של לקוחות. לקונסולה יש API, ובתוכו רכיב בשם Replication Receiver שתפקידו לרשום שרת נוסף שיקבל עותק של הגיבויים. שני דברים השתבשו שם. הראשון, בדיקת הסיסמה ב-API מסתפקת בערך מזדמן במקום בפרטי אימות אמיתיים, וזו CVE-2026-105133 בציון 7.3. השני חמור יותר: הקלט שנשלח לרכיב הרישום מגיע לשורת הפקודה של מערכת ההפעלה בלי סינון. תוקף שמשרשר את השניים מריץ קוד על שרת הגיבוי בלי שום אימות.

פרטים בקצרה:
מזהה: CVE-2026-105134
סוג: הזרקת פקודות למערכת ההפעלה (OS Command Injection, CWE-77 ו-CWE-78)
מוצר: Ahsay AhsayCBS, רכיב ה-Replication Receiver
גרסאות מושפעות: עד 10.3.2 לפי רשומת ה-CVE, וגם 10.3.4 לפי Huntress
גרסה מתוקנת: אין. הרשומה מפנה ל-10.3.4, שלפי Huntress חשופה גם היא
ניצול בפועל: כן, חמישה ארגונים עד 8 באוקטובר לפי Huntress. לא ברשימת ה-KEV של CISA בקטלוג מ-8 באוקטובר

ציר זמן

5 באוגוסט 2026: גרסה 10.3.4 יוצאת, בלי סעיף אבטחה בהערות השחרור.
4 באוקטובר 2026: שתי רשומות ה-CVE מתפרסמות, ומצוין בהן שקוד ניצול פומבי.
7 באוקטובר 2026, 23:20 UTC: Huntress מתעדת את ניסיון הניצול הראשון.
8 באוקטובר 2026: חמישה ארגונים נתקפו, ו-Huntress מעדכנת שגם גרסה 10.3.4 חשופה.
11 באוקטובר 2026: אין עדיין גרסה מתוקנת, והחולשה לא ברשימת ה-KEV.

איך הניצול עובד

האימות נעקף קודם. הפונקציה checkSysPwd, שאמורה לאמת את מי שפונה ל-API, מקבלת ערך מזדמן בפרמטר במקום פרטי אימות תקינים, ומאשרת. אחרי זה הבקשה ל-/rps/api/json/UpdateReceivers.do מגיעה לרכיב הרישום, והטקסט שהתוקף שתל בפרמטר ממשיך אל שורת הפקודה של השרת. לסוג החולשה הזה קוראים OS Command Injection, והקוד רץ בהרשאות SYSTEM.

אצל הקורבנות, לפי Huntress, התוקפים הגדירו receiver זדוני, שתלו webshell בפורמט JSP בתיקיית האפליקציה, והורידו כורה מטבעות XMRig בשם edge.exe. שירות ווינדוס בשם MicrosoftEdgeUpdateSvc מחזיר את הכורה לאוויר אחרי אתחול, וסקריפט PowerShell עוצר אותו בכל פעם שמנהל המשימות נפתח, כדי שלא יופיע ברשימת התהליכים. Huntress מעריכה שהסקריפט נכתב בעזרת AI.

ניתוח ציון ה-CVSS

ציון CVSS: 10

הציון הזה הוא של VulDB, הגוף שהקצה את ה-CVE. NVD סימנה את הרשומה כ-Deferred ולא ערכה לה ניתוח משלה. בפועל: הבקשה מגיעה ברשת, בלי אימות ובלי שמנהל המערכת יעשה משהו, והקוד רץ בהרשאות הגבוהות ביותר. בסולם CVSS 4.0 אותה חולשה מקבלת 9.3.

איפה למצוא Proof of Concept (PoC)

רשומת ה-CVE מסמנת שקוד ניצול פורסם, אבל אין מאגר פומבי שאפשר להפנות אליו באחריות. ההפניה הטכנית המלאה היא הדוח של Huntress, שמתעד את שרשרת הניצול, את סימני הפריצה וארבעה כללי Sigma.

עד שיצא תיקון, הקונסולה הזאת חשופה בכל גרסה: חסמו את הגישה אליה מהאינטרנט, הגבילו לכתובות מאושרות או ל-VPN, ובדקו אם מישהו כבר נכנס.