Kwetsbaarheden in AhsayCBS zijn door aanvallers misbruikt om AhsayCBS webshells te plaatsen en om zelfs XMRig-cryptocurrency miners te draaien. De leverancier heeft nu aanvullende beveiligingsupdates beschikbaar gemaakt, omdat eerdere patches niet volledig zouden hebben afgedekt wat in de praktijk werd waargenomen.
In dit artikel zetten we uiteen welke beveiligingsproblemen het precies betreft, hoe de aanvalsketen volgens waarnemingen tot stand komt en welke stappen organisaties nu moeten nemen om hun omgeving veilig te houden.
Wat is er misgegaan met AhsayCBS?
In oktober 2026 werd duidelijk dat kwaadwillenden misbruik maakten van twee kwetsbaarheden in Ahsay Backup’s AhsayCBS. Het gaat om CVE-2026-105133 en CVE-2026-105134. Volgens rapportages konden aanvallers deze issues gebruiken als onderdeel van één keten om eerst authenticatie te omzeilen en vervolgens willekeurige opdrachten uit te voeren.
Dat is niet alleen theoretisch: securityonderzoekers zagen dat aanvallers de kwetsbaarheden combineerden om webshells op blootgestelde systemen te plaatsen. Daarnaast werden er ook XMRig miners aangetroffen—een aanwijzing dat de systemen niet alleen werden misbruikt voor controle, maar ook voor financieel gewin via rekenkracht.
Van “gepatcht” naar hotfixes: waarom opnieuw patchen nodig is
De kwetsbaarheden werden eerder geassocieerd met versies die in augustus 2026 uitkwamen: AhsayCBS 9.15.2.59 en 10.3.4.0. Die updates werden aanvankelijk gezien als een oplossing. Maar Ahsay bevestigt nu dat de eerdere patching de problemen niet volledig heeft afgesloten.
Met andere woorden: ook als je destijds een “fix” had geïnstalleerd, is het verstandig om te controleren of je daadwerkelijk op de juiste latere versie zit. Dit is extra belangrijk omdat de aanval in de praktijk actief is geweest en omdat webshells vaak als opstap dienen voor verdere compromittering.
Welke AhsayCBS hotfixes moet je toepassen?
Ahsay stelt twee specifieke hotfixes beschikbaar die de kern van de aanvalsmogelijkheden moeten afdekken:
- AhsayCBS v10.3.4.45 hotfix
- AhsayCBS v9.15.2.70 hotfix
Na het toepassen van de hotfix vraagt de leverancier om de server te herstarten. Dat is relevant omdat beveiligingsupdates soms pas volledig actief worden na een reboot, en een gecontroleerde herstart helpt om onverwachte resttoestanden te voorkomen.
Bevestiging door Huntress: mitigatie van de entry point
In aanvullende informatie geeft Huntress aan dat de hotfixes niet alleen “zouden moeten werken”, maar dat er ook onafhankelijk is geverifieerd dat de AhsayCBS 10.3.4.45 hotfix de initiële instap van de aanvalsketen beperkt.
Daarbij werd gemeld dat dezelfde aanvalsketen op eerdere versies binnen de 10.x-lijn—zonder de hotfix—nog gevoelig bleef. Dit onderstreept het belang van niet alleen “updaten”, maar daadwerkelijk naar de correcte hotfixversie springen.
Waarom CISA dit als prioriteit behandelt
Omdat er sprake was van actief misbruik in het wild, heeft de U.S. Cybersecurity and Infrastructure Security Agency (CISA) de kwetsbaarheden toegevoegd aan de Known Exploited Vulnerabilities (KEV)-catalogus. Voor federale organisaties geldt daarmee een duidelijke deadline.
Volgens de berichtgeving moeten patches uiterlijk op 17 oktober 2026 zijn toegepast. Ook als jouw organisatie geen federale plichten heeft, is het KEV-signaal praktisch gezien een sterke indicatie dat het om een realistisch en urgent aanvalsrisico gaat.
Praktische aanpak: dit kun je vandaag doen
Als je AhsayCBS gebruikt—zeker als het systeem bereikbaar is vanuit het internet—dan is een snelle en gecontroleerde aanpak verstandig. Denk daarbij niet alleen aan patching, maar ook aan verificatie en herstel van vertrouwen.
1) Inventariseer welke versie draait
Begin met vaststellen welke AhsayCBS-versie actief is. Krijg je geen 10.3.4.45 (hotfix) of 9.15.2.70 (hotfix) te zien? Dan is de kans groot dat je nog kwetsbaar bent voor de aanvalsketen zoals beschreven.
2) Installeer de hotfix en reboot
Pas de juiste hotfix toe en voer daarna—conform de leverancier—een herstart uit. Daarmee minimaliseer je de kans dat je half-gerepareerde toestanden overhoudt.
3) Controleer op sporen van webshells en miner-activiteit
Aangezien AhsayCBS webshells en XMRig in de praktijk zijn gedetecteerd, is het zinvol om te kijken naar ongebruikelijke processen, verdachte bestanden, rare netwerkverbindingen en afwijkend resourcegebruik. Als je logging en monitoring op bestands- en procesniveau goed hebt ingericht, wordt dit sneller en consistenter.
4) Beoordeel of exposure- en toegangsmaatregelen nodig zijn
De aanval lijkt in het bijzonder relevant voor systemen die “blootgesteld” zijn. Los daarvan kunnen extra maatregelen zoals netwerksegmentatie en restricties op toegang helpen om de impact van een eventuele misstap later te beperken.
Relatie met andere incidenten: why patching alone isn’t enough
Dit soort dossiers past in een bredere trend: kwetsbaarheden worden niet alleen ontdekt, maar ook meteen misbruikt, en soms blijkt dat “eerder gepatcht” toch nog niet het volledige probleem afdekt. Een vergelijkbare dynamiek zie je in berichten over actief misbruik en opvolgende updates, waarbij organisaties hun security posture telkens opnieuw moeten toetsen.
Wil je meer context over hoe aanvallen en patches elkaar opvolgen in het recente nieuws? Lees dan ook eens dit artikel over een eerdere keten van compromittering en patching: Cisco Secure Email Gateway: CVE-2026-76519 uitgebaat.
Conclusie
AhsayCBS webshells en XMRig-miners zijn in de praktijk gekoppeld aan misbruik van CVE-2026-105133 en CVE-2026-105134. De kernboodschap is duidelijk: eerdere patches bleken niet volledig afdoende, waardoor Ahsay hotfixes heeft uitgebracht en een reboot aanbeveelt.
Pak dit nu aan door je AhsayCBS-versie te inventariseren, de juiste hotfix (10.3.4.45 of 9.15.2.70) toe te passen, en vervolgens te controleren op tekenen van webshells of miner-activiteit. Met de KEV-status van CISA is dit bovendien een kwestie van prioriteit—niet van afwachten.
Bron: https://thehackernews.com/2026/10/ahsaycbs-flaws-exploited-to-deploy-web.html
