Ahsay: Angreifer übernehmen die Verwaltung von Backup-Servern
Angreifer nutzen Sicherheitslücken in der Backup-Plattform AhsayCBS, um Server ohne Anmeldung zu übernehmen. Betroffen ist damit ausgerechnet die Verwaltung, die Datensicherungen und Wiederherstellungen steuert. Besonders kritisch: Ein zunächst als sicher bezeichnetes Update beseitigte die Schwachstellen nicht vollständig.
Ahsay entwickelt Backup-Software für Managed-Service-Provider (MSP), Systemintegratoren und Unternehmen. Die zentrale Server-Komponente AhsayCBS (Cloud Backup Server) verwaltet Backup-Aufträge, Benutzer, Richtlinien und Speicherziele. Genau diese Verwaltung ist nun zum Einfallstor geworden: Nach Erkenntnissen des Sicherheitsunternehmens Huntress nutzen Angreifer zwei Schwachstellen aktiv aus. Sie können sich ohne gültige Anmeldung Zugriff verschaffen und auf betroffenen Windows-Servern Befehle mit Systemrechten ausführen.
Wer eine Backup-Verwaltung kompromittiert, kann unter Umständen auch Zugänge und Wiederherstellungsprozesse beeinflussen. Ob bei den bisher beobachteten Angriffen Sicherungsdaten verändert oder gelöscht wurden, ist allerdings nicht belegt.
Zwei Lücken ermöglichen die Übernahme
Die Schwachstellen CVE-2026-105133 und CVE-2026-105134 betreffen die Anmeldung und die Befehlsverarbeitung im Replication Receiver. Kombiniert ermöglichen sie laut Huntress die Ausführung von Schad-Code ohne gültige Zugangsdaten.
Bis zum 8. Oktober beobachtete Huntress Angriffe bei fünf Organisationen. Das ist keine weltweite Opferzahl, sondern beschreibt nur die vom Sicherheitsanbieter erkannten Fälle.
Webshells und Kryptominer auf Backup-Servern
Die Angreifer hinterließen JSP-Webshells und installierten den Kryptominer XMRig. Dateien und Dienste tarnten sie als Microsoft Edge-Komponenten. Ein PowerShell-Skript sollte die Mining-Aktivität verbergen, sobald Administratoren den Task-Manager öffneten. Belegt sind damit die Übernahme und der Missbrauch von Servern, nicht jedoch eine Zerstörung oder ein Abfluss von Backup-Daten.
Hersteller korrigiert seine Entwarnung
Am 9. Oktober bezeichnete Ahsay die Version 10.3.4.0 zunächst als geschützt. Einen Tag später räumte der Hersteller ein, dass der Patch die Lücken nicht vollständig schließt. Huntress hatte zuvor auch vor Angriffsmöglichkeiten auf die aktuelle Version gewarnt.
Betreiber betroffener Version-10-Installationen sollen den Hotfix 10.3.4.45 über das Partnerportal installieren und den Server neu starten. Eine unabhängige Bestätigung der Wirksamkeit liegt bislang nicht vor.
Patchen reicht bei einem Einbruch nicht
Die Verwaltungsoberfläche sollte nicht frei aus dem Internet erreichbar sein. Huntress empfiehlt außerdem, nach ungewöhnlichen Unterprozessen, neuen JSP-Dateien und verdächtigen Edge-Diensten zu suchen. Dazu hat das Unternehmen technische Indikatoren veröffentlicht.
Bei einer bestätigten Kompromittierung reicht Patchen nicht: Hintertüren können bestehen bleiben. Huntress empfiehlt, den Server vertrauenswürdig neu aufzusetzen und erreichbare Zugangsdaten zu prüfen. MSP müssen zusätzlich klären, welche Mandanten und Backup-Ziele betroffen sein könnten.
Der Fall zeigt, dass Cyber-Resilienz nicht bei unveränderlichen Backup-Kopien endet. Auch die Verwaltung der Datensicherung muss gegen unbefugte Zugriffe abgesichert sein. Hier greifen die Prinzipien von Zero Trust: Zugriffe begrenzen, Berechtigungen minimieren und Systeme kontinuierlich überprüfen. Mehr dazu in unseren Beiträgen zu Cybersicherheit und Zero Trust.