Swiss KMU Cyber-Alert: AhsayCBS – aktiv ausgenutzt, Hotfix 10.3.4.45 erforderlich
Aktualisiert: 12. Okt.
Ahsay hat seine frühere Entwarnung korrigiert: AhsayCBS 10.3.4.0 schützt nicht vollständig vor den aktiv ausgenutzten Schwachstellen CVE-2026-105133 und CVE-2026-105134. Für betroffene v10-Server ist nun der Hotfix 10.3.4.45 mit anschliessendem Neustart erforderlich. Falls Ihr IT-Dienstleister AhsayCBS für Ihre Backups verwendet, sollte er den genauen Build heute bestätigen und den Server zusätzlich auf Spuren eines Einbruchs prüfen.
Was ist passiert?
Angreifer verketten CVE-2026-105133 und CVE-2026-105134, um die Anmeldung zu umgehen und auf erreichbaren AhsayCBS-Servern Befehle mit NT AUTHORITY\SYSTEM-Rechten auszuführen. Huntress beobachtet diese Angriffe seit dem 7. Oktober 2026; dabei wurden unter anderem Webshells und XMRig-Miner installiert.
Ahsay erklärte zunächst am 9. Oktober, Version 10.3.4.0 behebe die Schwachstellen. Am 10. Oktober korrigierte der Hersteller diese Aussage: Der frühere Patch schützt nicht vollständig. Betroffene v10-Systeme sollen den neuen Hotfix 10.3.4.45 erhalten und danach neu gestartet werden.
Könnte mein Unternehmen betroffen sein?
Ja, wenn Ihre Firma AhsayCBS selbst betreibt oder Ihr IT-Dienstleister beziehungsweise Managed-Service-Provider damit Ihre Backups verwaltet. Die Plattform kann unter dem Namen des Dienstleisters angeboten werden; fragen Sie deshalb ausdrücklich nach AhsayCBS.
Relevant sind AhsayCBS-v10-Systeme, auf denen der Hotfix 10.3.4.45 noch nicht installiert ist. Die blosse Angabe «Version 10.3.4» oder «10.3.4.0» reicht nicht mehr als Bestätigung aus.
Was sollten Sie jetzt tun?
Beauftragen Sie Ihren IT-Dienstleister heute mit der Prüfung, ob AhsayCBS eingesetzt wird und welcher genaue Build installiert ist.
Betroffene v10-Server sollen gemäss Ahsay den Hotfix 10.3.4.45 erhalten und danach neu gestartet werden.
Die Verwaltungsoberfläche sollte nur über vertrauenswürdige IP-Adressen oder VPN erreichbar sein.
War der Server vor dem Hotfix aus dem Internet erreichbar, ist zusätzlich eine Prüfung auf Kompromittierung nötig. Ein Update entfernt bereits installierte Webshells oder andere Hintertüren nicht.
Wie dringend ist es?
Sehr dringend. Die Schwachstellen werden aktiv ausgenutzt und ermöglichen ohne gültige Zugangsdaten die Kontrolle über den Windows-Server. Weil der zuvor genannte Fix 10.3.4.0 unvollständig war, sollten auch vermeintlich bereits aktualisierte Systeme sofort erneut kontrolliert werden.
Informationen für Ihren IT-Dienstleister
CVE-2026-105133: Authentifizierungs-Bypass in AhsayCBS.
CVE-2026-105134: Befehlsausführung über die Replication-Receiver-Funktion; in der beobachteten Angriffskette Remote Code Execution als NT AUTHORITY\SYSTEM.
Aktueller Hersteller-Fix für betroffene v10-Systeme: AhsayCBS Hotfix 10.3.4.45; anschliessender Serverneustart ist erforderlich.
Version 10.3.4.0 gilt gemäss Herstellerkorrektur vom 10. Oktober 2026 nicht als vollständiger Schutz.
Bei früherer Internet-Exposition nach ungewöhnlichen Kindprozessen von cbssvcX64.exe oder cbssvcX86.exe, unerwarteten JSP-Dateien, neu angelegten Diensten und den von Huntress veröffentlichten IoCs suchen.
