Vulnerabilități AhsayCBS Neîncetate Exploatate Activ: RCE Neautentificat și Webshelly JSP

Administratorii de sisteme și furnizorii de servicii gestionate (MSP-uri) se confruntă cu o amenințare critică: două vulnerabilități zero-day în AhsayCBS, soluția populară de backup centralizat, sunt exploatate activ în wilderness. Identificate ca CVE-2026-105133 și CVE-2026-105134, aceste defecte permit atacatorilor să ocolească autentificarea și să execute comenzi arbitrary cu privilegii de System. Huntress a confirmat că cel puțin cinci organizații au fost compromise până la 8 octombrie, cu atacatori care lansează webshelly JSP în directoarele aplicației. În acest articol analizăm vectorii de atac, impactul real și măsurile de mitigare immediate pe care le puteți implementa astăzi pentru a proteja infrastructura de backup.

Ghid ServerSpan relevant: CUPS RCE pe VPS Linux: CVE-2026-34980 se înlănțuie până la root — verifică dacă ești expus chiar acum.

Mecanismul de Exploatare: Lanțuirea a Două Bug-uri pentru RCE Neautentificat

Atacatorii nu exploatează o singură vulnerabilitate, ci lanțuiesc CVE-2026-105133 și CVE-2026-105134 pentru a obține execuție de cod la distanță fără nicio credențială validă. Prima vulnerabilitate permite manipularea argumentelor în anumite funcții pentru a bypass-ui autentificarea, în timp ce a doua — CVE-2026-105134 — expune un API al componentului Replication Receiver care acceptă un token aleatoriu în locul credențialelor legitime. Acest bypass de autentificare la nivel de API este particular periculos deoarece componentul Replication Receiver rulează adesea cu privilegii de System pe Windows sau root pe Linux.

Pentru mai multe detalii despre această parte a subiectului, vezi CVE-2026-12184: Ghid de Patch pentru DoS în PHP-FPM (8.3.32 / 8.4.21 / 8.5.6).

Căiuța de exploatare observată de Huntress urmează un pattern clar: attacker-ul configurează un „receiver” malicios prin API-ul vulnerabil, apoi scrie un webshell JSP (Java Server Page) direct în directorul servit de aplicația CBS. Acest webshell devine punctul de persistență și de command-and-control. Deoarece AhsayCBS rulează de obicei pe servere dedicate sau VPS-uri cu acces la stocarea de backup a mulțor clienți, compromiterea unui singur server CBS poate expune datele de backup ale zecilor de organizații.

Pentru echipele care gestionează infrastructură de hosting, este esențial să înțelegem că aceste servere CBS sunt adesea expuse pe internet pentru a permite agentilor de backup să comunice cu ele. Un scan rapid cu Shodan sau Censys revelază mii de instanțe AhsayCBS accesibile public, multe rulând versiuni vechi. Dacă găzduiți servere de backup pentru clienți, verificați imediat exponența: nmap -p 80,443,8080,8443 --script http-title <IP_range> | grep -i ahsay.

Versiunile Afectate și Lipsa Patch-ului: Ce Știm până Acum

Conform averizării NIST din 4 octombrie, toate versiunile AhsayCBS până la 10.3.2 sunt vulnerabile. Ce este mai îngrijorător, Huntress a confirmat că chiar și versiunea 10.3.4 — cea mai recentă la momentul scrierii — rămâne afectată. Ahsay Systems nu a publicat încă un patch de securitate oficial, lăsând administratorii fără o remediere definitivă. Situația este agravată de faptul că exploit code-ul este public și armat.

Pentru MSP-uri care folosesc AhsayCBS ca backbone al serviciilor de backup-as-a-service, aceasta înseamnă că infrastructura centrală de management a politicilor de backup, a stocării și a utilizatorilor este expusă. Multe organizații rulează CBS pe servere Windows Server 2019/2022 sau pe distribuții Linux (Ubuntu 20.04/22.04, CentOS 7/8, Rocky Linux), adesea în configurații clusterizate pentru HA. Dacă serverul CBS este compromis, attacker-ul primește acces nu doar la configurații, ci potențial și la credențiale de stocare (S3 keys, credențiale FTP/SFTP, SharePoint tokens) stocate în baza de date a CBS.

O verificare rapidă a versiunii se face din interfața web (System → System Information) sau din linia de comandă pe serverul CBS:

# Linux - locație tipică instalare
cat /usr/local/ahsaycbs/conf/server.xml | grep -i version
# Windows
type "C:\Program Files\AhsayCBS\conf\server.xml" | findstr /i version

Dacă versiunea este 10.3.4 sau mai veche, sunteți vulnerabili. Nu există workaround la nivel de aplicație — doar restricționarea accesului la rețea poate reduce suprafața de atac.

Mitigare Imediată: Restricționare Acces și Monitorizare Compromis

În lipsa unui patch, recomandarea principală de la Huntress și NIST este restrictarea accesului la interfața de management și la API-ul Replication Receiver. Aceasta nu este o soluție perfectă, dar reduce drastic riscul de exploatare automată de către bot-uri care scanează internetul.

Reguli de firewall practice:

# Linux iptables - permite acces doar din rețeale de management de încredere
iptables -A INPUT -p tcp -m multiport --dports 80,443,8080,8443 -s 10.0.0.0/8 -j ACCEPT
iptables -A INPUT -p tcp -m multiport --dports 80,443,8080,8443 -s 192.168.0.0/16 -j ACCEPT
iptables -A INPUT -p tcp -m multiport --dports 80,443,8080,8443 -s 172.16.0.0/12 -j ACCEPT
iptables -A INPUT -p tcp -m multiport --dports 80,443,8080,8443 -j DROP

# Windows Firewall PowerShell
New-NetFirewallRule -DisplayName "AhsayCBS Management Access" -Direction Inbound -LocalPort 80,443,8080,8443 -Protocol TCP -RemoteAddress 10.0.0.0/8,192.168.0.0/16,172.16.0.0/12 -Action Allow
New-NetFirewallRule -DisplayName "AhsayCBS Block Public" -Direction Inbound -LocalPort 80,443,8080,8443 -Protocol TCP -Action Block

Dacă serverele CBS trebuie să fie accesibile agentilor de backup de pe internet (pentru backup-uri offsite), separați portul de comunicare a agentului (de obicei 443 sau un port custom) de portul interfeței de management. Configurați doi listeneri separați în server.xml și expuneți doar listener-ul agentului pe internet, păstrând interfața de admin pe un port intern accesibil doar prin VPN sau bastion host.

Detectare webshelly JSP existente:

# Căutare fișiere JSP suspecte în directorul webapp
find /usr/local/ahsaycbs/webapps -name "*.jsp" -type f -exec grep -l "Runtime.getRuntime\|ProcessBuilder\|cmd.exe\|/bin/bash" {} \;

# Verificare fișiere create/modificate recent (ultimele 7 zile)
find /usr/local/ahsaycbs -type f -mtime -7 \( -name "*.jsp" -o -name "*.jspf" -o -name "*.jspx" \) -ls

Verificați de asemenea log-urile de acces pentru cereri POST suspecte către endpoint-urile Replication Receiver (/api/replication/receiver sau similar). Atacatorii lasă urme: token-uri aleatorii în header-ele de autentificare, configurații de receiver noi create, și scrieri de fișiere JSP în directoarele servite.

Impactul pe MSP-uri și Cadența de Răspuns la Incident

Pentru un MSP, compromiterea serverului AhsayCBS nu este un incident izolat — este un eveniment de tip supply chain. Dacă attacker-ul accesează baza de date CBS, poate extrage: lista tuturor clienților și a politicilor lor de backup, credențialele de stocare (AWS S3 keys, Azure Blob SAS tokens, FTP/SFTP passwords), configurații de replicare către site-uri secundare, și chiar certificate SSL private. Aceasta înseamnă că un singur server CBS compromis poate duce la compromiterea backup-urilor a sută de organizații client.

Planul de răspuns la incident trebuie să includă:

Izolare imediată — deconectați serverul CBS de internet, păstrând doar accesul de management prin console/out-of-band (iDRAC, iLO, KVM).
Forensic imaging — faceți o imagine a disk-ului (dd sau FTK Imager) înainte de orice restart sau curățare.
Rotire credențiale masivă — rotați TOATE credențialele de stocare găsite în configurația CBS. Aceasta include chei API cloud, parole de baza de date, certificate.
Notificare clienți — conform GDPR și contractelor MSP, informați clienții afectați despre potențiala expunere a datelor lor de backup.
Validare integritate backup-uri — verificați checksum-urile backup-urilor recente împotriva valorilor stocate în CBS înainte de compromitere.

Pentru organizații care găzduiesc infrastructura CBS pe servere dedicate sau VPS-uri, revizuirea arhitecturii de securitate este imperativă. Considerați mutarea CBS într-o rețea izolată de management, accesibilă exclusiv prin WireGuard sau OpenVPN cu MFA. Dacă aveți nevoie de servere dedicate securizate pentru a re-architectura infrastructura de backup, dedicated-servers.ro oferă opțiuni cu management inclus și hardening de securitate pre-configurat.

Pași Practici de Implementat Astăzi

Inventariază toate instanțele AhsayCBS din infrastructura dvs. (inclusiv medii de test/staging).
Verificați versiunea — orice versiune ≤ 10.3.4 este vulnerabilă.
Aplicați reguli de firewall restrictive pentru interfața de management și API-ul Replication Receiver.
Scanați pentru webshelly JSP și analiză log-uri de acces pentru ultimele 14 zile.
Rotați credențialele de stocare și API configurate în CBS dacă există semne de compromis.
Activați monitorizarea FIM (File Integrity Monitoring) pe directoarele webapp și conf ale CBS.
Planificați migrarea către o arhitectură cu CBS izolat în rețea de management dedicată.
Abonă-vă la feed-urile de securitate Ahsay și Huntress pentru notificare instantanee când patch-ul devine disponibil.

Concluzie

Exploatarea activă a vulnerabilităților AhsayCBS ne reamintește că infrastructura de backup — adesea neglijată din perspectiva securității — este un target de valoare strategică pentru atacatori. Lipsa unui patch oficial după săptămâni de la divulgare pune pressionarea pe echipele de operare să implementeze controale compensatoare robuste: segmentare de rețea, monitorizare activă, și planuri de răspuns la incident testate. Nu așteptați patch-ul pentru a acționa. Restricționați accesul acum, verificați semnele de compromis, și pregătiți-vă pentru o rotire masivă de credențiale. Securitatea backup-urilor nu este opțională — este ultima linie de apărare a organizației.