FlawOpen

flawopen.com/Incidents/ahsaycbs-auth-bypass-command-injection-october-2026

● Ahsay · CVE-2026-105133 · 2026-10-07 · CVSS 10.0 · Критический
Исследования · FlawOpen

AhsayCBS: обход аутентификации с последующим внедрением команд

По состоянию на 12 октября 2026 года Huntress сообщает, что уязвимы версии AhsayCBS вплоть до 10.3.4, а атаки наблюдаются с 7 октября. Теперь Ahsay заявляет, что прежние исправления 10.3.4.0 и 9.15.2.59 не полностью устранили обе уязвимости; партнёрам с v10 предписано установить хотфикс 10.3.4.45, а партнёрам с v7–v9 — 9.15.2.70, затем перезагрузить систему. Подробности хотфиксов доступны только партнёрам и независимо не проверялись; сверьте установленную сборку и следуйте актуальным инструкциям Ahsay.[1], [8], [3], [4]

💡 Простыми словами (ELI5)

Представьте, что посетитель проходит проверку личности в комнате резервного копирования, а затем передаёт оператору записку. Конечная точка приёма трактовала данные под контролем злоумышленника как часть команды операционной системы, поэтому записка могла восприниматься как инструкция, а не как данные. Эта аналогия описывает цепочку, о которой сообщила Huntress; точная реализация Ahsay публично не раскрыта.[1], [3], [4]

Ключевые понятия и термины

CVE-2026-105133
Ошибка аутентификации средней степени серьёзности в функции checkSysPwd AhsayCBS. Huntress описывает её как первый этап наблюдавшейся цепочки.[3], [1]
CVE-2026-105134
Критическое внедрение команд ОС с оценкой CVSS 10.0 в API Replication Receiver по адресу /rps/api/json/UpdateReceivers.do. По данным Huntress, после обхода аутентификации оно позволило выполнить код. Оценка 10.0 относится только к этой CVE.[4], [1]
Статус исправлений на 12 октября 2026 года
В записях CVE версия 10.3.4 изначально указана как исправленная, однако позднее Huntress обнаружила уязвимость вплоть до 10.3.4. Объявления Ahsay от 10 и 12 октября заменяют позицию от 9 октября: прежние исправления 10.3.4.0 и 9.15.2.59 не полностью устраняли обе проблемы. Ahsay предписывает партнёрам с v10 установить 10.3.4.45, а с v7–v9 — 9.15.2.70, затем перезагрузить систему. Это инструкции поставщика; содержимое и эффективность закрытых хотфиксов независимо не проверялись.[1], [8], [3], [4]

Связи со стандартами

  • Ссылка CWE для слабого места, описанного в этом руководстве: CWE-78 CWE-287

Статус версий и меры защиты

Источник сведенийЧто в нём сказаноРешение для оператора
Записи CVE (4 окт.)Изначально указывали версию 10.3.4 как исправленную для обеих CVE.Считайте это утверждение спорным; подтвердите исправление непосредственно у Ahsay, прежде чем закрывать устранение.
Huntress (8 окт.)Сообщает об эксплуатации и указывает, что затронуты также версии до 10.3.4 включительно.Считайте системы до 10.3.4 включительно потенциально уязвимыми; ограничьте доступ к управлению и проведите расследование.
Примечания к выпуску Ahsay v10.3.4 (5 авг.)Не упоминают ни одну из CVE и не подтверждают исправление этих уязвимостей.Не делайте вывод об исправлении этих CVE в 10.3.4 только по примечаниям к выпуску.
Примечания к выпуску Ahsay v10.3.2 (20 июля)Указывают общий «Ahsay Security Patchset - 2026/Q3», но не называют эти CVE и исправленную версию.Не считайте общее название пакета доказательством исправления этих CVE. Позже Huntress сообщила, что затронута и v10.3.4.
Подозрение на компрометацию при любой версииНомер версии не исключает более раннюю эксплуатацию или закрепление.Проверьте хост, сохраните доказательства, оцените целостность резервных копий и используйте доверенную процедуру восстановления.
Объявления Ahsay (10 и 12 окт.)Прежние исправления 10.3.4.0 и 9.15.2.59 не полностью устраняли обе уязвимости. Ahsay направляет партнёров с v10 к 10.3.4.45, а с v7–v9 — к 9.15.2.70 с последующей перезагрузкой.Следуйте инструкции поставщика для своей версии, перезагрузите систему и подтвердите сборку через партнёрский канал; хотфикс независимо не изучался.

Хронология инцидента

2026-10-04

Опубликованы записи CVE о двух уязвимостях AhsayCBS; первоначально в них версия 10.3.4 указана как исправленная.[3], [4]

2026-10-07 23:20:15 UTC

Huntress начала наблюдать эксплуатацию уязвимостей против доступных из сети систем.[1]

2026-10-08

Huntress сообщила о пяти атакованных организациях и исправила прежнюю оценку версий: версия 10.3.4 тоже уязвима.[1]

2026-10-09

На момент публикации 9 октября подтверждённая поставщиком исправленная версия не была указана.[5]

2026-10-10

Ahsay сообщила, что v10.3.4.0 не полностью устраняла обе уязвимости, и направила партнёров с v10 к хотфиксу 10.3.4.45.[8]

2026-10-12

Ahsay обновила рекомендации: партнёрам с v10 следует установить 10.3.4.45, с v7–v9 — 9.15.2.70. После установки перезагрузите систему.[8]

Пошаговый сценарий атаки

Шаг 1

Доступен открытый интерфейс управления

По данным Huntress, наблюдавшиеся атаки были направлены на веб-интерфейсы AhsayCBS, доступные через интернет. Продукт используют поставщики управляемых услуг и системные интеграторы.[1]

Шаг 2

Обходится граница аутентификации

Huntress связывает первый этап с CVE-2026-105133 и функцией checkSysPwd в ApiStructsAction.java. Это описание специалистов по реагированию; в изученных источниках нет уязвимого исходного кода поставщика.[1], [3]

Шаг 3

Ошибка Replication Receiver позволяет выполнить код

Huntress связывает CVE-2026-105134 с внедрением команд в /rps/api/json/UpdateReceivers.do. В отчёте сказано, что злоумышленники настроили receiver и поместили JSP-веб-шеллы в каталог, обслуживаемый приложением. Синтаксис запросов и payload здесь не приводятся.[1], [4]

Шаг 4

Считайте узел потенциально скомпрометированным

В затронутых случаях Huntress наблюдала дочерние процессы службы, веб-шеллы, замаскированное ПО для майнинга и закрепление. Ограничьте доступ к управлению, исследуйте узел и резервные копии, а при подтверждённой компрометации выполните восстановление из доверенного источника.[1], [6]

Исходный код: Уязвимый vs Защищённый вариант

В безопасном примере используются фиксированный исполняемый файл, явный список разрешённых значений и отдельные аргументы ProcessBuilder; оболочка не запускается, а пользовательский ввод не объединяется со строкой команды. Это общий защитный шаблон, показывающий закрытие границы интерпретации команд ОС, а не исходный код или исправление Ahsay. В проверенных открытых источниках реализация и исправление поставщика не опубликованы.[1], [3], [4]

УЯЗВИМАЯ РЕАЛИЗАЦИЯ
// Только общий антипаттерн; это не исходный код Ahsay.
void updateReceiver(Request request) {
    String receiver = request.parameter("receiver");
    String command = commandBuilder.forReceiverUpdate(receiver);
    operatingSystem.execute(command); // unsafe command-string boundary
}
БЕЗОПАСНЫЙ ИСПРАВЛЕННЫЙ ВАРИАНТ
// Только общий защитный подход; это не исправление Ahsay.
private static final Set<String> ALLOWED_RECEIVERS = Set.of("primary", "archive");

void updateReceiver(Principal principal, ReceiverInput input) throws IOException {
    authorization.require(principal, Permission.MANAGE_RECEIVERS);
    String receiver = input.receiverId();
    if (!ALLOWED_RECEIVERS.contains(receiver)) {
        throw new IllegalArgumentException("Unsupported receiver");
    }
    new ProcessBuilder("/usr/local/bin/replication-tool", "update", "--receiver", receiver)
        .start(); // fixed executable; separate arguments; no shell
}

Чек-лист по защите системы для инженеров

Источники