Aanvallers maken actief misbruik van twee kwetsbaarheden in Ahsay Cloud Backup Server (CBS) voor het hacken van organisaties en beveiligingsupdates zijn nog niet beschikbaar. Dat meldt cybersecuritybedrijf Huntress, dat naar eigen zeggen bekend is met meerdere getroffen organisaties. Aangezien patches niet beschikbaar zijn wordt aangeraden om toegang tot de management-interface te beperken en te onderzoeken of het systeem niet al is gehackt.

AhsayCBS is de management console voor de back-upsoftware van Ahsay. Het wordt voornamelijk gebruikt door managed serviceproviders (MSP's) en system integrators, om zo back-ups voor hun klanten te regelen. Zo is het mogelijk om back-upbeleid in te stellen, back-ups te maken en back-ups terug te zetten. De oplossing bevat twee kwetsbaarheden, aangeduid als CVE-2026-105133 en CVE-2026-105134.

Via CVE-2026-105133 is een 'authentication bypass' waardoor aanvallers de authenticatie kunnen omzeilen en toegang tot het AhsayCBS-systeem krijgen. CVE-2026-105134 maakt remote code execution met SYSTEM-rechten mogelijk. Bij de waargenomen aanvallen worden de twee kwetsbaarheden gecombineerd. Zodra aanvallers toegang tot een gecompromitteerde server hebben installeren ze webshells om toegang te behouden en verdere aanvallen uit te voeren. Daarnaast installeren de aanvallers ook cryptominers, die de rekenkracht van het systeem gebruiken voor het minen van cryptovaluta.

Huntress adviseert organisaties om toegang tot de AhsayCBS management-interface te beperken. Verder wordt aangeraden om systemen op de aanwezigheid van Indicators of Compromise te onderzoeken. Wanneer die worden aangetroffen wordt geadviseerd om een re-image vanaf een vertrouwde back-up uit te voeren, aangezien de aanvallers backdoors hebben toegevoegd om toegang te behouden, aldus het cybersecuritybedrijf.