Betroffen sind die Schwachstellen CVE-2026-105133 und CVE-2026-105134. In Kombination erlauben sie es, die Authentifizierung zu umgehen und beliebige Befehle auf verwundbaren Systemen auszuführen.
Huntress hatte in einem Bericht Anfang des Monats beschrieben, dass Angreifer beide Fehler verketten, um unauthentifizierte Codeausführung aus der Ferne zu erreichen und anschließend Web-Shells sowie Kryptominer zu installieren.
Zunächst war angenommen worden, dass die im August 2026 veröffentlichten Versionen 9.15.2.59 und 10.3.4.0 die Probleme beheben. Ahsay bestätigte inzwischen, dass diese Patches die Lücken nicht vollständig schlossen. Abhilfe schaffen laut Hersteller folgende Ausgaben:
- AhsayCBS v10.3.4.45 (Hotfix)
- AhsayCBS v9.15.2.70 (Hotfix)
“Angesichts der Schwere dieser Risiken fordern wir Sie dringend auf, unverzüglich Maßnahmen zu ergreifen, um Ihre Umgebung abzusichern und die Daten Ihrer Kunden zu schützen”, teilte Ahsay mit. Nach dem Einspielen des Hotfixes solle der Server neu gestartet werden.
Huntress ergänzte in einem Update, man habe “unabhängig verifiziert, dass der Hotfix AhsayCBS 10.3.4.45 den ursprünglichen Einstiegspunkt dieser Angriffskette entschärft, der auf früheren v10-Versionen weiterhin angreifbar war”.
Wegen der aktiven Ausnutzung hat die US-Cybersicherheitsbehörde CISA beide Schwachstellen in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen. US-Bundesbehörden müssen die Updates bis zum 17. Oktober 2026 einspielen.