In AhsayCBS werden die Schwachstellen CVE-2026-105133 und CVE-2026-105134 aktiv angegriffen. Die erste Lücke ermöglicht eine Umgehung der Authentifizierung, anschließend nutzen die Angreifer eine Schwachstelle zur Ausführung von Betriebssystembefehlen. Die Angriffe wurden am 7. Oktober beobachtet und richten sich gegen eine Plattform, die häufig von Managed-Service-Providern und Systemintegratoren eingesetzt wird.
Nach der erfolgreichen Ausnutzung führten die Täter zunächst Aufklärungsmaßnahmen durch. Danach installierten sie JSP-Webshells und luden den XMRig-Kryptominer herunter, der als „edge.exe“ getarnt wurde. In den untersuchten Fällen sorgte ein als MicrosoftEdgeUpdateSvc benannter Dienst für die Persistenz auf dem System.
Besonders problematisch ist, dass die Schwachstellen offenbar auch Ahsay 10.3.4 betreffen, obwohl sie laut den bisherigen Angaben in Version 10.3.2 behoben sein sollten. Eine Aktualisierung allein bietet daher möglicherweise keinen ausreichenden Schutz, solange der Hersteller keine wirksame Korrektur für die tatsächlich betroffenen Versionen bereitstellt.
Administratoren sollten die AhsayCBS-Verwaltungsoberfläche bis dahin auf vertrauenswürdige IP-Adressen beschränken und Systeme auf Anzeichen einer Kompromittierung untersuchen. Bei einem bestätigten Vorfall empfiehlt Huntress eine vollständige Wiederherstellung des Hosts aus einem sicheren Backup, da zusätzlich installierte Hintertüren nicht ausgeschlossen werden können.