FlawOpen

flawopen.com/Incidents/ahsaycbs-auth-bypass-command-injection-october-2026

● Ahsay · CVE-2026-105133 · 2026-10-07 · CVSS 10.0 · 严重
安全研究 · FlawOpen

AhsayCBS：身份验证绕过后衔接命令注入

截至 2026 年 10 月 12 日，Huntress 报告 AhsayCBS 最高至 10.3.4 均受影响，并观察到攻击自 10 月 7 日开始。Ahsay 现表示，早前的 10.3.4.0 和 9.15.2.59 修复未能完全解决这两个缺陷；其建议 v10 合作伙伴安装 10.3.4.45 热修复，v7–v9 合作伙伴安装 9.15.2.70，并在之后重启。热修复仅合作伙伴可访问，其细节未能独立审查；请确认已安装的版本并遵循 Ahsay 当前指引。[1], [8], [3], [4]

💡 通俗易懂的原理解析 (ELI5)

想象有人绕过备份控制室的身份核验后，又递给操作员一张便条。接收端点把攻击者可控的输入当成操作系统命令的一部分，因此便条可能被解释为指令，而不是数据。这个比喻对应 Huntress 报告的攻击链；Ahsay 的具体实现并未公开。[1], [3], [4]

核心概念与专有名词

CVE-2026-105133
AhsayCBS checkSysPwd 函数中被报告的中危身份验证缺陷。Huntress 将其描述为已观察到攻击链的第一步。[3], [1]
CVE-2026-105134
Replication Receiver API /rps/api/json/UpdateReceivers.do 中被报告的严重操作系统命令注入漏洞，CVSS 10.0。Huntress 称绕过身份验证后可借此执行代码。10.0 分仅适用于此 CVE，并非两项漏洞的共同评分。[4], [1]
截至 2026 年 10 月 12 日的修复状态
CVE 记录最初将 10.3.4 列为已修复版本，但 Huntress 后来发现最高至 10.3.4 的版本仍受影响。Ahsay 10 月 10 日和 12 日的公告取代了其 10 月 9 日的说法：此前的 10.3.4.0 和 9.15.2.59 修复未能完全解决两个缺陷。Ahsay 指示 v10 合作伙伴使用 10.3.4.45，v7–v9 合作伙伴使用 9.15.2.70，之后重启。这是供应商指引；合作伙伴专用热修复的内容和效果未经独立审查。[1], [8], [3], [4]

框架映射

版本状态与防御措施

证据来源来源说明运维决策
CVE 记录（10 月 4 日）最初将 10.3.4 列为两个 CVE 的修复版本。将此说法视为存在争议；结束修复工作前，直接向 Ahsay 确认修复情况。
Huntress（10 月 8 日）报告了利用活动，并称截至 10.3.4 的版本也受影响。将截至 10.3.4 的系统视为可能受影响；限制管理访问并开展调查。
Ahsay v10.3.4 发行说明（8 月 5 日）未提及这两个 CVE，也未说明修复了其中任何一个漏洞。不要仅凭发行说明就推断 10.3.4 已修复这些 CVE。
Ahsay v10.3.2 发行说明（7 月 20 日）列出了通用的 “Ahsay Security Patchset - 2026/Q3”，但未指出这些 CVE 或已修复的版本。不要把通用补丁集名称视为这些 CVE 已修复的证据。Huntress 后来报告 v10.3.4 也受影响。
任何版本均疑似遭到入侵版本号无法排除此前已被利用或存在持久化。调查主机、保存证据、评估备份完整性，并使用可信的恢复流程。
Ahsay 公告（10 月 10 日和 12 日）此前的 10.3.4.0 和 9.15.2.59 修复未能完全解决两个缺陷。Ahsay 指示 v10 合作伙伴使用 10.3.4.45、v7–v9 合作伙伴使用 9.15.2.70，之后重启。按对应版本遵循供应商指引并重启，通过合作伙伴渠道确认安装版本；热修复内容未经独立检查。

事件演进时间线

2026-10-04

两项 AhsayCBS 漏洞的 CVE 记录发布，最初将 10.3.4 列为已修复版本。[3], [4]

2026-10-07 23:20:15 UTC

Huntress 开始观察到针对暴露系统的漏洞利用活动。[1]

2026-10-08

Huntress 报告有五个组织成为攻击目标，并更正此前的版本判断：10.3.4 也存在漏洞。[1]

2026-10-09

截至 10 月 9 日文章发布时，尚未发现供应商确认的修复版本。[5]

2026-10-10

Ahsay 宣布 v10.3.4.0 未能完全解决两个缺陷，并指示 v10 合作伙伴使用 10.3.4.45 热修复。[8]

2026-10-12

Ahsay 更新了指引：v10 合作伙伴应安装 10.3.4.45，v7–v9 合作伙伴应安装 9.15.2.70；安装后重启。[8]

攻击执行流程分解

步骤 1

暴露的管理界面可被访问

Huntress 表示，观察到的活动针对可从互联网访问的 AhsayCBS Web 界面。托管服务提供商和系统集成商会使用该产品。[1]

步骤 2

身份验证边界被绕过

Huntress 将第一阶段归因于 CVE-2026-105133 及 ApiStructsAction.java 中的 checkSysPwd。这是响应团队的描述；所审阅的资料没有提供供应商的易受攻击源代码。[1], [3]

步骤 3

Replication Receiver 缺陷导致代码执行

Huntress 将 CVE-2026-105134 与 /rps/api/json/UpdateReceivers.do 中的命令注入联系起来。报告称攻击者配置了 receiver，并将 JSP webshell 放入应用所提供的目录。本文不复现请求语法或 payload。[1], [4]

步骤 4

按主机可能已失陷来响应

在受影响案例中，Huntress 观察到服务子进程、webshell、伪装的挖矿软件和持久化行为。限制管理访问，调查主机和备份；确认失陷后，按可信的重建流程处理。[1], [6]

源代码对比：漏洞与安全实现

安全示例使用固定的可执行文件、明确的允许列表和独立的 ProcessBuilder 参数；它不会调用 shell，也不会把用户输入拼接进命令字符串。这是用于封闭操作系统命令解析边界的通用防御模式，并非 Ahsay 源码或其补丁。已查阅的公开来源未披露厂商实现或修复方案。[1], [3], [4]

存在漏洞的实现
// 仅为通用反模式示例，并非 Ahsay 源代码。
void updateReceiver(Request request) {
    String receiver = request.parameter("receiver");
    String command = commandBuilder.forReceiverUpdate(receiver);
    operatingSystem.execute(command); // unsafe command-string boundary
}
加固后的安全修复
// 仅为通用防御设计，并非 Ahsay 补丁。
private static final Set<String> ALLOWED_RECEIVERS = Set.of("primary", "archive");

void updateReceiver(Principal principal, ReceiverInput input) throws IOException {
    authorization.require(principal, Permission.MANAGE_RECEIVERS);
    String receiver = input.receiverId();
    if (!ALLOWED_RECEIVERS.contains(receiver)) {
        throw new IllegalArgumentException("Unsupported receiver");
    }
    new ProcessBuilder("/usr/local/bin/replication-tool", "update", "--receiver", receiver)
        .start(); // fixed executable; separate arguments; no shell
}

工程与系统安全加固清单

参考来源