Цепочка уязвимостей в AhsayCBS позволяет обойти аутентификацию и выполнить команды на сервере резервного копирования

В серверном продукте для резервного копирования AhsayCBS сложились две уязвимости, которые злоумышленники применяют вместе. Первая даёт обойти проверку подлинности, вторая позволяет выполнить произвольные команды операционной системы. Вместе они открывают путь к удалённому выполнению кода на сервере, причём без учётных данных. Такие атаки уже фиксируют исследователи, а нидерландский национальный центр по кибербезопасности (NCSC) призывает ставить исправления без задержки и проверять системы на следы прошлых взломов.

Две уязвимости в AhsayCBS под реальными атаками

AhsayCBS - серверная часть платформы резервного копирования Ahsay. Её разворачивают провайдеры услуг и компании, которые хранят копии данных клиентов. Компрометация такого сервера задевает не только владельца инфраструктуры, но и всех, чьи данные на нём лежат. Обе проблемы получили идентификаторы CVE-2026-105133 и CVE-2026-105134. Они затрагивают версии 10.3.0, 10.3.1 и 10.3.2, а также более старые ветки 7, 8 и 9.

Обход аутентификации в программном интерфейсе

Первая уязвимость CVE-2026-105133 связана с недостаточной проверкой подлинности в программном интерфейсе (API) продукта. Функция, которая сверяет системный пароль, обрабатывает специально составленный запрос и пропускает его дальше без входа в систему. Отправлять такой запрос можно удалённо, доступ к самому серверу не нужен. Оценки опасности расходятся: база данных уязвимостей VulDB ставит 5,5 по шкале CVSS 4.0 (общая система оценки уязвимостей), что соответствует среднему уровню, а NCSC указывает 7,3.

Внедрение команд в компонент репликации

Вторая уязвимость CVE-2026-105134 заметно весомее. Она затрагивает компонент приёма репликации, который получает данные от других серверов. Один из параметров запроса не фильтрует служебные символы, поэтому злоумышленник подставляет в него команды операционной системы. Те исполняются с правами службы AhsayCBS, то есть на уровне самой системы. Рейтинги высокие: 9,3 по VulDB и 10,0 по оценке NCSC. Эксплойт (готовый код для использования уязвимости) появился в открытом доступе.

По данным исследователей, обе проблемы применяют в одной цепочке. Сначала через первую уязвимость обходят аутентификацию, затем используют вторую и получают управление сервером. Ни логин, ни пароль для такого сценария не нужны. Именно поэтому сочетание двух уязвимостей превращается в полноценное удалённое выполнение кода.

Исправления для веток 9 и 10

Ahsay закрыла обе бреши. Для ветки 10 выпущен пакет исправлений v10.3.4.45, он ставится поверх версии 10.3.4. Для ветки 9 вышел пакет v9.15.2.70. Тем, кто ещё работает на версиях 7 и 8, предлагают сначала обновиться до 9.15.0.0, а затем применить тот же пакет. Прежние исправления v9.15.2.59 и v10.3.4.0 проблему не закрывали полностью, о чём компания сообщила отдельно.

Хронология событий короткая. Девятого октября 2026 года партнёры начали сообщать о несанкционированном доступе к своим серверам. На следующий день появился пакет для ветки 10, двенадцатого октября - для ветки 9. Тринадцатого октября Ahsay опубликовала инструкции по поиску следов компрометации и восстановлению.

Признаки взлома и порядок восстановления

Признаков несколько. В корне дисков появляются посторонние каталоги со случайными именами. В каталоге веб-приложений оказываются файлы, которых там быть не должно. В системе обнаруживаются получатели репликации, которых администратор не добавлял, а также учётные записи AhsayCBS с правами администратора, созданные без ведома владельца.

Если что-то из перечисленного найдено, сервер считают скомпрометированным. Восстановление предполагает полную пересборку: переустановить операционную систему, поставить свежую версию AhsayCBS с исправлением и вернуть конфигурацию из автоматических сохранений (функция Auto Save). Версию конфигурации выбирают с запасом, минимум за сутки до появления подозрительных файлов и папок.

Что делать администраторам: применить актуальный пакет исправлений для своей ветки; сверить состав получателей репликации и учётных записей с ожидаемым; проверить корень дисков и каталог веб-приложений на посторонние объекты; при найденных следах пересобрать сервер с нуля; сохранить копии журналов до очистки для дальнейшего разбора.

Последствия выходят за пределы одного сервера. Резервные копии нужны, чтобы восстановиться после программ-вымогателей и потери данных. Если злоумышленник получает на этом сервере права на исполнение команд, он распоряжается и самими архивами, и доступами к ним. Обновление до версии 10.3.4 или пакет для ветки 9 закрывает обе уязвимости, поэтому откладывать установку не стоит.