面向托管服务商（MSP）与系统集成商的备份管理平台 AhsayCBS 被披露存在两个漏洞，编号 CVE-2026-105133 与 CVE-2026-105134。安全厂商 Huntress 的遥测显示，攻击者自 2026 年 10 月 7 日 23:20:15 UTC 起开始串接利用这两个漏洞，对暴露在公网的备份服务器实现未认证远程代码执行（RCE），截至 10 月 8 日已确认至少五家机构被针对。更棘手的是，厂商当前最新版本仍不在安全范围内，且无可用补丁。
事件概述
AhsayCBS 是 Ahsay 备份软件的管理控制台。两个漏洞于 10 月 4 日由 NVD 披露，当日评估认为 10.3.2 及以下版本受影响，厂商发布说明中列出的最新版本为 10.3.4。Huntress 在 10 月 8 日更新报告，测试确认 10.3.4 同样受影响，此前「已安全」的说法已过期。
技术细节
CVE-2026-105133 位于 com/ahsay/obs/api/ApiStructsAction.java 的 checkSysPwd 函数，可造成认证不当，即用一个随机令牌替代有效凭据。CVE-2026-105134 位于复制接收组件 Replication Receiver 的 /rps/api/json/UpdateReceivers.do 接口，该接口存在认证绕过，攻击者可借此以 NT AUTHORITY/SYSTEM 权限实现未认证 RCE。得手后，攻击者配置恶意接收端并向 CBS 应用目录投递 JSP WebShell。
后渗透行为相当完整：cbssvcX64.exe 拉起的可疑命令行会从阿里云 OSS 存储桶（imagefiles-backup.oss-ap-southeast-7.aliyuncs.com）下载 Taskgmr.ps1、msedge.exe、edge.exe 与 config.json；随后投递 XMRig 挖矿程序并伪装成 Microsoft Edge；再通过名为 MicrosoftEdgeUpdateSvc 的 Windows 服务持久化，该服务运行的是被改造并重命名为 msedge.exe 的合法工具 NSSM。其中 Taskgmr.ps1 被 Huntress 判定为疑似 AI 辅助生成：用户打开任务管理器时它暂停挖矿、关闭后恢复，并在本地时间 18:00 之后或任务管理器持续打开超一小时时将其强制结束。
影响评估
备份管理面被攻陷，攻击者拿到的其实是恢复体系本身。备份服务器往往持有其他主机的管理凭据，一旦失守，攻击者可能干扰或删除备份数据，而这恰好发生在企业最需要恢复的时刻。XMRig 挖矿只是表象，真正危险的是可回连的 WebShell 与内核级后门；即使删掉矿机，攻击者仍可能随时返回。目前尚无公开统计说明暴露在互联网上的 AhsayCBS 实例数量，五家受害机构也不代表事件全貌，但收窄暴露面已刻不容缓。
修复建议
- 因无补丁可用，优先收敛访问面：把管理接口限制为可信 IP 白名单或强制经 VPN 访问，不要直接暴露在公网。
- 按 Huntress 公布的 IOC 与四条 Sigma 规则排查：重点核对 cbssvcX64.exe 拉起的异常子进程、异常 JSP 文件、伪装成 Edge 的服务与进程，以及到矿池（xmr.kryptex.network:8029）的外连。
- 一旦确认失陷，不要只删矿机，应从可信备份整机重建；同时确认所用备份副本早于入侵时间，并轮换备份服务器可访问的凭据。
- 保留相关日志以供取证，并持续关注厂商后续补丁与安全公告。