FlawOpen

flawopen.com/Incidents/ahsaycbs-auth-bypass-command-injection-october-2026

● Ahsay · CVE-2026-105133 · 2026-10-07 · CVSS 10.0 · Kritis
Riset Keamanan · FlawOpen

AhsayCBS: bypass autentikasi berlanjut ke injeksi perintah

Hingga 12 Oktober 2026, Huntress melaporkan versi AhsayCBS sampai 10.3.4 terdampak dan serangan telah diamati sejak 7 Oktober. Ahsay kini menyatakan perbaikan sebelumnya 10.3.4.0 dan 9.15.2.59 belum sepenuhnya menangani kedua celah; mitra v10 diminta memasang hotfix 10.3.4.45 dan mitra v7–v9 memasang 9.15.2.70, lalu melakukan reboot. Detail hotfix khusus mitra belum ditinjau secara independen; pastikan build yang terpasang dan ikuti instruksi Ahsay terkini.[1], [8], [3], [4]

💡 Penjelasan Sederhana (ELI5)

Bayangkan seseorang lolos dari pemeriksaan identitas di ruang pencadangan, lalu memberikan catatan kepada operator. Endpoint penerima memperlakukan input yang dikendalikan penyerang sebagai bagian dari perintah sistem operasi, sehingga catatan itu dapat ditafsirkan sebagai instruksi, bukan data. Analogi ini menggambarkan rantai yang dilaporkan Huntress; implementasi Ahsay yang persis tidak tersedia untuk publik.[1], [3], [4]

Konsep Kunci & Istilah

CVE-2026-105133
Kelemahan autentikasi dengan tingkat keparahan sedang yang dilaporkan pada fungsi checkSysPwd di AhsayCBS. Huntress menyebutnya tahap pertama dalam rantai yang diamati.[3], [1]
CVE-2026-105134
Kelemahan injeksi perintah OS kritis dengan CVSS 10.0 yang dilaporkan pada API Replication Receiver di /rps/api/json/UpdateReceivers.do. Huntress menyatakan kelemahan ini memungkinkan eksekusi kode setelah bypass autentikasi. Skor 10.0 hanya berlaku untuk CVE ini.[4], [1]
Status patch per 12 Oktober 2026
Catatan CVE awalnya menyebut 10.3.4 sebagai versi yang telah diperbaiki, tetapi Huntress kemudian menemukan versi sampai 10.3.4 masih terdampak. Pengumuman Ahsay pada 10 dan 12 Oktober menggantikan posisi 9 Oktober: perbaikan 10.3.4.0 dan 9.15.2.59 sebelumnya belum sepenuhnya menangani kedua celah. Ahsay mengarahkan mitra v10 memasang 10.3.4.45 dan mitra v7–v9 memasang 9.15.2.70, lalu reboot. Ini adalah instruksi vendor; isi dan efektivitas hotfix khusus mitra belum diverifikasi secara independen.[1], [8], [3], [4]

Pemetaan kerangka kerja

  • Referensi CWE untuk kelemahan yang dijelaskan dalam panduan ini: CWE-78 CWE-287

Status versi dan tindakan pertahanan

Sumber buktiPernyataan sumberKeputusan operator
Catatan CVE (4 Okt)Awalnya mencantumkan 10.3.4 sebagai versi yang memperbaiki kedua CVE.Anggap informasi ini masih diperselisihkan; konfirmasikan perbaikan langsung kepada Ahsay sebelum menutup remediasi.
Huntress (8 Okt)Melaporkan eksploitasi dan menyatakan versi hingga 10.3.4 juga terdampak.Anggap sistem hingga 10.3.4 berpotensi terdampak; batasi akses pengelolaan dan lakukan investigasi.
Catatan rilis Ahsay v10.3.4 (5 Agu)Tidak menyebut kedua CVE maupun perbaikan keamanan untuk salah satunya.Jangan menyimpulkan bahwa 10.3.4 memperbaiki CVE ini hanya dari catatan rilis.
Catatan rilis Ahsay v10.3.2 (20 Jul)Mencantumkan “Ahsay Security Patchset - 2026/Q3” secara umum, tetapi tidak menyebut CVE ini atau versi yang telah diperbaiki.Jangan anggap nama patchset yang umum sebagai bukti bahwa CVE ini telah diperbaiki. Huntress kemudian melaporkan bahwa v10.3.4 juga terdampak.
Dugaan kompromi pada versi apa punNomor versi tidak meniadakan eksploitasi sebelumnya atau persistensi.Investigasi host, simpan bukti, nilai integritas cadangan, dan gunakan prosedur pemulihan tepercaya.
Pengumuman Ahsay (10 dan 12 Okt)Perbaikan terdahulu 10.3.4.0 dan 9.15.2.59 belum sepenuhnya menangani kedua celah. Ahsay meminta mitra v10 memasang 10.3.4.45 dan mitra v7–v9 memasang 9.15.2.70, lalu reboot.Ikuti instruksi vendor sesuai versi, reboot, dan konfirmasikan build melalui kanal mitra; hotfix belum diperiksa secara independen.

Kronologi Insiden

2026-10-04

Catatan CVE untuk dua kelemahan AhsayCBS diterbitkan dan awalnya menyebut versi 10.3.4 telah diperbaiki.[3], [4]

2026-10-07 23:20:15 UTC

Huntress mulai mengamati eksploitasi kelemahan terhadap sistem yang terekspos.[1]

2026-10-08

Huntress melaporkan lima organisasi menjadi sasaran dan mengoreksi penilaian versi sebelumnya: versi 10.3.4 juga terdampak.[1]

2026-10-09

Saat berita diterbitkan pada 9 Oktober, belum ada versi perbaikan yang dikonfirmasi vendor.[5]

2026-10-10

Ahsay mengumumkan bahwa v10.3.4.0 belum sepenuhnya menangani kedua celah dan mengarahkan mitra v10 ke hotfix 10.3.4.45.[8]

2026-10-12

Ahsay memperbarui panduan: mitra v10 harus memasang 10.3.4.45; mitra v7–v9 memasang 9.15.2.70. Reboot setelah memasang hotfix.[8]

Alur Serangan Langkah demi Langkah

Langkah 1

Antarmuka manajemen yang terekspos dapat dijangkau

Huntress menyatakan aktivitas yang diamati menargetkan antarmuka web AhsayCBS yang dapat diakses melalui internet. Produk ini digunakan penyedia layanan terkelola dan integrator sistem.[1]

Langkah 2

Batas autentikasi dilewati

Huntress mengaitkan tahap pertama dengan CVE-2026-105133 dan checkSysPwd dalam ApiStructsAction.java. Ini adalah uraian tim respons; sumber yang ditinjau tidak menyediakan kode rentan milik vendor.[1], [3]

Langkah 3

Kelemahan Replication Receiver memungkinkan eksekusi kode

Huntress menghubungkan CVE-2026-105134 dengan injeksi perintah pada /rps/api/json/UpdateReceivers.do. Laporannya menyebut penyerang mengonfigurasi receiver dan menempatkan webshell JSP dalam direktori yang disajikan aplikasi. Sintaks permintaan dan payload tidak ditampilkan.[1], [4]

Langkah 4

Perlakukan host sebagai kemungkinan telah dibobol

Pada kasus terdampak, Huntress melihat proses turunan layanan, webshell, perangkat lunak penambangan yang disamarkan, dan persistensi. Batasi akses manajemen, selidiki host dan cadangan, lalu gunakan prosedur pemulihan tepercaya jika kompromi terkonfirmasi.[1], [6]

Kode Sumber: Rentan vs Aman

Contoh aman ini menggunakan executable tetap, daftar izin eksplisit, dan argumen ProcessBuilder yang terpisah; contoh ini tidak menjalankan shell atau menggabungkan input pengguna ke dalam string perintah. Ini pola defensif umum untuk menutup batas interpretasi perintah sistem operasi, bukan kode sumber atau patch Ahsay. Sumber publik yang ditinjau tidak menampilkan implementasi atau perbaikan vendor.[1], [3], [4]

IMPLEMENTASI RENTAN
// Hanya contoh anti-pola umum, bukan kode sumber Ahsay.
void updateReceiver(Request request) {
    String receiver = request.parameter("receiver");
    String command = commandBuilder.forReceiverUpdate(receiver);
    operatingSystem.execute(command); // unsafe command-string boundary
}
PERBAIKAN AMAN & KUAT
// Hanya rancangan pertahanan umum, bukan patch Ahsay.
private static final Set<String> ALLOWED_RECEIVERS = Set.of("primary", "archive");

void updateReceiver(Principal principal, ReceiverInput input) throws IOException {
    authorization.require(principal, Permission.MANAGE_RECEIVERS);
    String receiver = input.receiverId();
    if (!ALLOWED_RECEIVERS.contains(receiver)) {
        throw new IllegalArgumentException("Unsupported receiver");
    }
    new ProcessBuilder("/usr/local/bin/replication-tool", "update", "--receiver", receiver)
        .start(); // fixed executable; separate arguments; no shell
}

Daftar Periksa Penguatan Sistem Rekayasa

Sumber