Ahsay、悪用された2件のバックアップ脆弱性に対するパッチの不備を認める

AhsayCBSバックアップサーバー向けのセキュリティパッチが、実際に悪用されている2件の脆弱性を完全には修正できていなかったことが分かりました。ベンダーは緊急のホットフィックスを公開しています。

Ahsay Systemsは2026年10月10日、バージョン10.3.4.0ではCVE-2026-105133とCVE-2026-105134に十分に対処できていなかったことを認めました。同社は、影響を受けるバージョン10のパートナーに対し、ホットフィックス10.3.4.45を適用してサーバーを再起動するよう指示しています。

AhsayCBSのパッチ不備が問題となる理由

今回のパッチ不備は、マネージドサービスプロバイダー（MSP）やシステムインテグレーター、AhsayCBSでバックアップ運用を管理している組織に影響します。管理サーバーが侵害されると、その権限やネットワーク接続の状況によっては、機密性の高い設定情報が露出したり、他のシステムへのアクセス経路となったりするおそれがあります。Ciscoのファイアウォール管理システムの脆弱性でも、同様のリスクが指摘されました。

Ahsayは10月10日付のセキュリティアドバイザリで、先行パッチが不十分だったことを認めました。セキュリティ企業のHuntressはすでにこの問題を把握しており、10月8日時点で5つの組織が攻撃の標的になったと報告していました。

この数字は標的となった組織の数であり、5件の侵害が確認されたとは限りません。それでも、観測された活動からは、攻撃者が実環境でこれらの脆弱性を悪用していたことが裏付けられます。

攻撃者によるAhsayCBS脆弱性の悪用手口

これらの脆弱性は2026年10月4日に公開されました。当初の米国国立脆弱性データベース（NVD）の記録ではバージョン10.3.4は影響を受けないとされていましたが、その後の調査でこの評価は覆りました。

CVE-2026-105133はcheckSysPwd API関数における不適切な認証の欠陥で、VulDBはCVSS 4.0のスコアを5.5と評価しています。CVE-2026-105134はReplication Receiverコンポーネントに存在するOSコマンドインジェクションの脆弱性で、スコアは9.3です。

Huntressの技術調査によると、攻撃者は2つの脆弱性を連鎖させて認証を回避し、NT AUTHORITY\SYSTEM権限でリモートからコマンドを実行していました。研究者が最初に悪用を確認したのは、10月7日の23時20分（UTC）です。

攻撃者はJava Server Pages（JSP）のウェブシェルと、Microsoft Edgeの実行ファイルに偽装したXMRig暗号資産マイナーを設置しました。さらに、偽のWindowsサービスMicrosoftEdgeUpdateSvcで永続化を図り、PowerShellスクリプトTaskgmr.ps1を使って、タスクマネージャーが開かれた際にマイニング活動を隠蔽していました。

組織がリスクを軽減する方法

Ahsayの修正用ホットフィックス（バージョン10.3.4.45）は、認証が必要なパートナーポータルから入手できます。Ahsayは修正ホットフィックスを公開していますが、確認した情報源の範囲では、2件の脆弱性が完全に解消されたことを裏付ける第三者によるテスト結果は確認できませんでした。

パッチを適用しても、すでに侵害されたシステムに残る悪意ある永続化の仕組みは除去できません。侵害されたZimbraサーバーを巡る攻撃でも指摘されたように、管理者は過去の露出についても調査し、次の対策を講じる必要があります。

• 修正ホットフィックスを適用する: バージョン10.3.4.45をインストールし、影響を受けるサーバーを再起動したうえで、稼働中のビルドを確認します。
• アクセスを制限・分離する: 管理インターフェースへのアクセスを信頼できるIPアドレスまたはVPN接続に限定し、バックアップ基盤を分離します。
• レプリケーションとネットワークの活動を監査する: 不正なレシーバー、設定変更、不審な接続を調べます。
• 侵害の痕跡を探索する: cbssvcX64.exeから起動された不審なプロセス、JSPウェブシェル、見慣れないサービスを確認します。修復前にフォレンジック証拠を保全します。
• 認証情報と復旧システムを保護する: 侵害の疑いがある場合は、露出した可能性のある認証情報を更新し、バックアップの完全性を検証したうえで、侵害が確認されたホストは信頼できるバックアップから再構築します。
• インシデント対応計画をテストする: 封じ込め手順を演習し、復元能力を検証して、チームが攻撃者の永続化を排除できることを確認します。

Huntressは、調査を支援するため、4件のSigma検知ルールと侵害指標（IoC）も公開しています。

バックアップのセキュリティを巡る大局的な視点

Huntressが調査したインシデントでは、ウェブシェルの設置と暗号資産マイニングが確認されましたが、ランサムウェアの展開やバックアップデータの窃取が確認されたとの報告はありません。それでも、集中管理型のバックアップ基盤が侵害されれば、組織の復旧能力が脅かされるおそれがあります。

確実な復旧能力を維持するには、パッチを適用した基盤と信頼できるバックアップの両方が欠かせません。組織は、修正アップデートの適用前に攻撃者がアクセスを維持していなかったかどうかも見極める必要があります。

関連記事: 新たに公開された脆弱性の迅速な悪用に関する米連邦政府の警告は、組織が対策を完了する前に、攻撃者が露出したシステムをいかに素早く標的にするかを示しています。