plaincve:~$

// 威脅簡報

CVE-2026-105134已遭實際利用

AhsayCBS 備份伺服器 Replication Receiver 作業系統命令注入:遠端可在伺服器上執行指令,已遭實際利用

CVSS
9.3 CRITICAL
CISA KEV
2026-10-14
弱點類型
CWE-77 · CWE-78
主題
基礎設施 · Web 應用

PlainCVE 團隊 · 發布 2026-10-21 · AI 輔助 · 媒體簡報 ↓

AI 審稿 2026-10-21(未經人工)指令測試:未提供漏洞重現:未進行驗證紀錄 ↓

AhsayCBS 備份伺服器的 Replication Receiver 元件可被遠端操控執行作業系統指令;已遭實際利用並列入 CISA KEV。

誰會中自行架設 AhsayCBS 備份伺服器、且管理網頁服務可從網路連到的組織。受影響版本各來源說法不一:官方表示 v7、v8、v9 與 v10 在套用 hotfix v9.15.2.70 / v10.3.4.45 之前都受影響。
後果遠端攻擊者可能在伺服器上執行作業系統指令。Huntress 表示在 Windows 主機上可不經認證、以 NT AUTHORITY/SYSTEM 權限執行,實際攻擊中還被植入 JSP 網頁後門。
現在該做什麼v10 套用官方 hotfix v10.3.4.45;v9 套用 v9.15.2.70;v7、v8 先升級到 v9.15.0.0 再套用 v9.15.2.70,完成後重新開機。已遭入侵的伺服器,官方強烈建議整台重建。
受影響版本各來源說法不一。CVE 紀錄(VulDB):10.3.2 以前(列出 10.3.0、10.3.1、10.3.2)。官方:v10 低於 v10.3.4.45、v9 低於 v9.15.2.70,v7、v8 也受影響。Huntress:到 10.3.4(含)為止都受影響。
修好的版本官方最新說法:hotfix v10.3.4.45(v10)與 v9.15.2.70(v7–v9)。CVE 紀錄寫的 10.3.4 已被官方表示並未完全修補。
CVSS 向量
顯示完整向量CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:P
時間點
  • 首次公開 2026-10-04
CISA KEV已列入(2026-10-14),代表已有實際攻擊案例

藍隊應對手冊

確認、修補 / 緩解、應變、強化。版本符合受影響條件不等於已被入侵;檢查沒有結果也不等於安全,每一項都有能證明與不能證明的範圍。標記的步驟對應下方攻擊流程裡可以擋下攻擊的那一步。

DETECT確認我受影響嗎?有沒有入侵跡象?
  1. 01確認版本與曝險條件

    在 AhsayCBS 管理介面確認版本。依官方說法,v10 低於 v10.3.4.45、v9 低於 v9.15.2.70,以及所有 v7、v8 都需處理。管理網頁服務可從外部連到的伺服器風險最高(Bitdefender)。

    步驟 1
  2. 02檢查是否有未經授權的 RPS 接收端

    官方列出的入侵跡象之一:出現不是你設定的 RPS(複寫)接收端。

    步驟 4
  3. 03搜尋 webapps 目錄中隨機名稱的 .jsp 檔

    官方指出 %CBS%\webapps 中可能出現多個隨機名稱的 .jsp 檔。在 AhsayCBS 的 Windows 伺服器上用 PowerShell 執行,把 <CBS_INSTALL_DIR> 換成你的安裝目錄;只讀取、不修改。以下指令為 PlainCVE 的寫法,非官方提供。

    唯讀查詢
    Get-ChildItem -Path "<CBS_INSTALL_DIR>\webapps" -Recurse -Filter *.jsp | Sort-Object LastWriteTime -Descending | Select-Object FullName, LastWriteTime
    步驟 4
MITIGATE修補 / 緩解先修補;還不能修補時先擋住
  1. 01套用官方 hotfix 並重新開機

    v10:v10.3.4.45。v9:v9.15.2.70。v7、v8:先升級到 v9.15.0.0,再套用 v9.15.2.70。完成後重新開機。hotfix 需以合作夥伴入口網站帳號下載。

    步驟 2步驟 3
  2. 02限制管理介面的存取來源(Huntress 建議)

    Huntress 建議只允許受信任的 IP 位址,或要求經 VPN 連線。

    步驟 1
RESPOND應變發現入侵跡象時
  1. 01已遭入侵:整台備份伺服器重建

    官方強烈建議對遭入侵的伺服器做完整重建。只套用修補不會清除已存在的入侵(例如已植入的網頁後門)。

    步驟 4
HARDEN強化長期避免同類問題
  1. 01不要讓備份伺服器的管理介面直接暴露在網際網路

    依 Huntress 的建議與 Bitdefender 的分析,只能從內部網路或 VPN 連到的伺服器曝險較低。

    步驟 1
  2. 02持續追蹤官方公告(PlainCVE 的建議)

    這次官方對「哪個版本已修補」的說法在數天內改了幾次;建議以官方最新公告為準,不要只看 CVE 紀錄。

完整修復步驟與說明
目前版本官方指示
v10(含 10.3.4 / v10.3.4.0)套用 hotfix v10.3.4.45
v9(含 v9.15.2.59)套用 hotfix v9.15.2.70
v8、v7先升級到 v9.15.0.0,再套用 v9.15.2.70
  • 順序:套用 hotfix 後要重新開機(官方指示)。hotfix 需以合作夥伴入口網站帳號下載。
  • 修補範圍的說明:官方表示兩個 hotfix 已完全修補 CVE-2026-105133 與 CVE-2026-105134。Huntress 則描述 10.3.4.45 修的是 105133(認證繞過),藉此擋住通往 105134 的路;命令注入本身是否也被修掉,尚未獨立確認。v9.15.2.70 目前沒有看到獨立驗證。所以修補後仍建議依 Huntress 的建議限制管理介面的存取來源。
  • 修補不會清除已存在的入侵。若發現官方列出的入侵跡象,官方強烈建議整台備份伺服器重建。

攻擊流程

從左到右是攻擊發生的順序。藍色盾牌代表這一步可以被擋下,越早擋下越好。點圖示可看細節。

由上到下是攻擊發生的順序。藍色盾牌代表這一步可以被擋下,越早擋下越好。點圖示可看細節。

AhsayCBS 備份伺服器 Replication Receiver 作業系統命令注入:遠端可在伺服器上執行指令,已遭實際利用: 1. 從網路連到 AhsayCBS 的管理網頁服務 → 2. 在已觀察到的攻擊中,先用 CVE-2026-105133 繞過認證 → 3. Replication Receiver 的 UpdateReceivers.do 把參數帶進作業系統指令 → 4. 設定惡意的複寫接收端並植入 JSP 網頁後門CVE-2026-105134 · AhsayCBS 備份伺服器 Replication Receiver 作業系統命令注入:遠端可在伺服器上執行指令,已遭實際利用攻擊者你的系統從網路連到 AhsayCBS 的管理網頁服務 — CVE 紀錄說攻擊可從遠端發動。Bitdefender 指出只能從內部網路連到的伺服器,實際曝險較低。 1從網路連到 AhsayCBS的管理網頁服務在已觀察到的攻擊中,先用 CVE-2026-105133 繞過認證 — 這是另一個認證漏洞。Bitdefender 指出 NVD 把本漏洞評為不需權限,攻擊者可能不需要完整的串連;是否一定要先繞過認證,尚未確認。 2在已觀察到的攻擊中,先用 CVE-2026-105133繞過認證Replication Receiver 的 UpdateReceivers.do 把參數帶進作業系統指令 — 操控該端點的一個參數即可造成命令注入。Huntress 表示在 Windows 主機上指令以 NT AUTHORITY/SYSTEM 權限執行。 3ReplicationReceiver 的UpdateReceivers.do把參數帶進作業系統指令設定惡意的複寫接收端並植入 JSP 網頁後門 — Huntress 觀察到攻擊者設定惡意的複寫接收端,並在應用程式提供網頁的目錄放入 JSP 網頁後門。 4設定惡意的複寫接收端並植入 JSP 網頁後門攻擊路徑可在此擋下PlainCVE · plaincve.date/vulns/cve-2026-105134-ahsaycbs-replication-command-injection · CC BY 4.0
AhsayCBS 備份伺服器 Replication Receiver 作業系統命令注入:遠端可在伺服器上執行指令,已遭實際利用: 1. 從網路連到 AhsayCBS 的管理網頁服務 → 2. 在已觀察到的攻擊中,先用 CVE-2026-105133 繞過認證 → 3. Replication Receiver 的 UpdateReceivers.do 把參數帶進作業系統指令 → 4. 設定惡意的複寫接收端並植入 JSP 網頁後門CVE-2026-105134 · AhsayCBS 備份伺服器Replication Receiver 作業系統命令注入:遠端可在伺服器上執行指令,已遭實際利用從網路連到 AhsayCBS 的管理網頁服務 — CVE 紀錄說攻擊可從遠端發動。Bitdefender 指出只能從內部網路連到的伺服器,實際曝險較低。 1攻擊者從網路連到 AhsayCBS 的管理網頁服務在已觀察到的攻擊中,先用 CVE-2026-105133 繞過認證 — 這是另一個認證漏洞。Bitdefender 指出 NVD 把本漏洞評為不需權限,攻擊者可能不需要完整的串連;是否一定要先繞過認證,尚未確認。 2攻擊者在已觀察到的攻擊中,先用CVE-2026-105133 繞過認證Replication Receiver 的 UpdateReceivers.do 把參數帶進作業系統指令 — 操控該端點的一個參數即可造成命令注入。Huntress 表示在 Windows 主機上指令以 NT AUTHORITY/SYSTEM 權限執行。 3你的系統Replication Receiver 的UpdateReceivers.do 把參數帶進作業系統指令設定惡意的複寫接收端並植入 JSP 網頁後門 — Huntress 觀察到攻擊者設定惡意的複寫接收端,並在應用程式提供網頁的目錄放入 JSP 網頁後門。 4攻擊者設定惡意的複寫接收端並植入 JSP 網頁後門攻擊路徑可在此擋下PlainCVE · CC BY 4.0plaincve.date/vulns/cve-2026-105134-ahsaycbs-replication-command-injection
圖片可自由用於報導與教學,採 CC BY 4.0,圖上已附出處。
  1. 攻擊者

    從網路連到 AhsayCBS 的管理網頁服務

    CVE 紀錄說攻擊可從遠端發動。Bitdefender 指出只能從內部網路連到的伺服器,實際曝險較低。

    防禦: Huntress 建議:管理介面只允許受信任的 IP 位址或經 VPN 存取。

  2. 攻擊者

    在已觀察到的攻擊中,先用 CVE-2026-105133 繞過認證

    這是另一個認證漏洞。Bitdefender 指出 NVD 把本漏洞評為不需權限,攻擊者可能不需要完整的串連;是否一定要先繞過認證,尚未確認。

    防禦: 套用官方 hotfix v10.3.4.45 / v9.15.2.70。Huntress 已獨立驗證 10.3.4.45 能擋住這個入口。

  3. 你的系統

    Replication Receiver 的 UpdateReceivers.do 把參數帶進作業系統指令

    操控該端點的一個參數即可造成命令注入。Huntress 表示在 Windows 主機上指令以 NT AUTHORITY/SYSTEM 權限執行。

    防禦: 官方表示兩個 hotfix 已完全修補 CVE-2026-105133 與 CVE-2026-105134。

  4. 攻擊者

    設定惡意的複寫接收端並植入 JSP 網頁後門

    Huntress 觀察到攻擊者設定惡意的複寫接收端,並在應用程式提供網頁的目錄放入 JSP 網頁後門。

    防禦: 依官方列出的入侵跡象檢查:未經授權的 RPS 接收端、%CBS%\webapps 中隨機名稱的 .jsp 檔。

影響範圍

AhsayCBS 是 Ahsay 的備份伺服器軟體。只有自行架設 AhsayCBS、而且管理網頁服務能從網路連到的組織才需要擔心;Bitdefender 指出只能從內部網路連到的伺服器,實際曝險較低。

各來源對受影響版本的說法不一致:

來源受影響版本已修補版本
CVE 紀錄(CNA:VulDB;NVD、GitHub、INCIBE、OpenCVE 照錄)10.3.2 以前(列出 10.3.0、10.3.1、10.3.2)10.3.4
Ahsay 官方(10 月 12–13 日的最新說法)v10 低於 v10.3.4.45、v9 低於 v9.15.2.70;v7、v8 也受影響hotfix v10.3.4.45 與 v9.15.2.70
Huntress(研究者)到 10.3.4(含)為止Huntress 已驗證 10.3.4.45 能擋住攻擊入口
BleepingComputer(新聞)—寫「10.3.2 已修補」,與 CVE 紀錄把 10.3.2 列為受影響互相矛盾,看起來是報導錯誤

PlainCVE 以官方最新說法為準:v10 要到 v10.3.4.45、v9 要到 v9.15.2.70 才算修補。已經裝了 10.3.4 / v10.3.4.0 的伺服器仍然受影響。

原理

AhsayCBS 有一個「Replication Receiver」(複寫接收端)元件,負責接收從其他伺服器複寫過來的備份。根據 CVE 紀錄,它的 /rps/api/json/UpdateReceivers.do 端點會把某個參數的內容帶進作業系統指令裡;攻擊者操控這個參數,就能讓伺服器多執行自己的指令。這類錯誤稱為作業系統命令注入,CISA KEV 對應為 CWE-77 與 CWE-78。PlainCVE 未看到有問題的原始碼。

有問題的思路(一般命令注入的概念示意,不是 AhsayCBS 原始碼):

展開程式碼範例(text)
cmd = "some-tool --option " + request.param   # 外部輸入直接拼進指令字串
run_in_shell(cmd)                              # 交給 shell 解析,夾帶的指令也會被執行

安全的思路:

展開程式碼範例(text)
value = validate_strictly(request.param)       # 只接受預期格式,其餘拒絕
run_program(["some-tool", "--option", value])  # 以參數陣列執行,不經 shell 解析

影響。 CISA 說明遠端攻擊者可能執行作業系統指令。Huntress 表示在 Windows 主機上可以不經認證、以 NT AUTHORITY/SYSTEM(系統最高權限)執行。

與 CVE-2026-105133 串連。 本漏洞可以和另一個認證漏洞 CVE-2026-105133 串連。在已觀察到的攻擊中,攻擊者是先用 105133 繞過登入。不過 NVD 的 CVSS 3.1 向量把本漏洞評為不需權限(PR:N)、不需使用者互動(UI:N),Bitdefender 因此指出攻擊者可能不需要完整串連。是否一定要先繞過認證,目前尚未確認。

實際利用。 CVE 紀錄表示利用程式已經公開(本站不連結)。Huntress 從 2026-10-07 23:20:15 UTC 起觀察到實際攻擊:攻擊者設定惡意的複寫接收端,並在應用程式提供網頁的目錄放入 JSP 網頁後門(webshell,一種能遠端操控伺服器的小程式);截至 10 月 8 日有五個組織成為目標。CISA 於 2026-10-14 列入 KEV,聯邦機構修補期限為 2026-10-17;是否被用於勒索軟體攻擊,CISA 列為「未知」。

時間軸

日期事件
2026-08-04 / 08-05AhsayCBS 10.3.4 發布(官方公告寫 8 月 4 日,發布說明寫 05-Aug-2026);發布說明未提到安全修補
2026-10-03CVE 紀錄(VulDB)時間軸記載 Advisory disclosed(以及 VulDB 條目建立);本站未能讀到該內容,首次公開仍以 CVE 發布日 10-04 為準
2026-10-04CVE 公開
2026-10-07 23:20:15 UTCHuntress 開始觀察到實際利用
2026-10-08Huntress 統計已有五個組織成為目標
2026-10-09Ahsay 開始收到合作夥伴的入侵通報;同日官方表示 v10.3.4.0 已修補(之後於 10 日、12 日收回)
2026-10-10官方稱釋出 hotfix v10.3.4.45(Huntress 與 Bitdefender 寫 10 月 12 日,來源不一)
2026-10-12官方釋出 hotfix v9.15.2.70,並承認先前的 v9.15.2.59 與 v10.3.4.0 未完全修補
2026-10-13官方最新說法:兩個 hotfix 已完全修補兩個 CVE
2026-10-14CISA 列入 KEV(聯邦修補期限 2026-10-17)

延伸閱讀

  • 評分差異。 CVSS 4.0:NVD、INCIBE 與新聞報導為 9.3,CVE 紀錄(經 OpenCVE 顯示)對同一向量為 10。CVSS 3.1:CNA(VulDB)評為 10.0(Bitdefender 引述);NVD 紀錄的向量為 AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H。本頁採用 9.3。
  • 是否為零時差。 The Hacker News 稱這些漏洞實質上成了零時差(zero-day),因為被認為已修補的 10.3.4 在攻擊開始時仍有漏洞;這是新聞媒體的描述,不是廠商或 CISA 的結論。PlainCVE 的判斷:利用從 10 月 7 日開始,而官方認定有效的第一個 hotfix(v10.3.4.45)在 10 月 10 日才釋出,所以攻擊看起來早於完整修補出現;但官方曾宣稱為修補的 v10.3.4.0 早在 8 月就已釋出。
  • 漏洞何時引入。 現有資料沒有說明。
  • 相關漏洞:CVE-2026-105133(認證繞過)。相關弱點類型:CWE-77、CWE-78。

驗證紀錄 AI 依審稿規則逐項核對來源,全部通過;未經人工審稿,也尚未在我們的環境重現

AI 審稿2026-10-21 · 審稿規則

驗證紀錄只寫環境與結果,不公開重現步驟或可攻擊他人系統的程式。詳見 政策.

來源

  1. CVE / NVD / OSVCVE-2026-105134 record (CVE Services API) · CVE Program (CNA: VulDB), 2026-10-04 · 查閱 2026-10-20
  2. CVE / NVD / OSVNVD API - CVE-2026-105134 · NIST · 查閱 2026-10-20
  3. 安全公告Patch update for CVE-2026-105133 and CVE-2026-105134 · Ahsay, 2026-10-12 · 查閱 2026-10-20
  4. 安全公告Ahsay company announcements · Ahsay · 查閱 2026-10-20
  5. 廠商說明AhsayCBS (DIY) v10.3.4 Release Notes · Ahsay, 2026-08-05 · 查閱 2026-10-20
  6. 研究文章AhsayCBS flaws exploited · Huntress · 查閱 2026-10-20
  7. 研究文章Technical Advisory: AhsayCBS exploitation chain (CVE-2026-105133, CVE-2026-105134) · Bitdefender · 查閱 2026-10-20
  8. 其他CVE-2026-105134 · OpenCVE · 查閱 2026-10-20
  9. 新聞報導Attackers exploit AhsayCBS flaws · The Hacker News · 查閱 2026-10-20
  10. 新聞報導Unpatched AhsayCBS flaws exploited to deploy webshells, mine crypto · BleepingComputer · 查閱 2026-10-20

媒體簡報

一句話

AhsayCBS 是一套備份伺服器軟體。它的 Replication Receiver 元件有命令注入漏洞,遠端攻擊者可能在伺服器上執行作業系統指令。資安公司 Huntress 從 2026 年 10 月 7 日起觀察到實際攻擊,美國 CISA 於 10 月 14 日將它列入已知遭利用漏洞清單。廠商先前宣稱的修補並不完整,目前以 hotfix v10.3.4.45 與 v9.15.2.70 為準。

關鍵數字

CVE 公開
2026-10-04 cveawg.mitre.org
首次觀察到實際利用(Huntress)
2026-10-07 23:20:15 UTC huntress.com
嚴重度
CVSS v4 9.3(The Hacker News 報導) thehackernews.com
官方 hotfix
v10.3.4.45(v10)、v9.15.2.70(v7–v9) ahsay.com

已確認

  • Replication Receiver 的 UpdateReceivers.do 存在作業系統命令注入,可遠端發動。
  • CISA 已將它列入已知遭利用漏洞清單(2026-10-14)。
  • Huntress 觀察到實際攻擊,攻擊者植入了 JSP 網頁後門;截至 10 月 8 日有五個組織成為目標。
  • 官方承認先前的 v10.3.4.0 與 v9.15.2.59 未完全修補。

尚未確認 / 說法不一

  • 受影響與已修補版本各來源說法不一(CVE 紀錄、官方、Huntress、新聞)。
  • 單獨利用本漏洞是否需要先繞過認證(CVE-2026-105133),尚未確認。
  • Huntress 說 hotfix 修的是認證繞過;命令注入本身是否已被修補,尚未獨立確認。v9.15.2.70 也沒有獨立驗證。
  • 是否被用於勒索軟體攻擊:CISA 列為「未知」。

可引用的一句話

這次最危險的不只是漏洞本身,而是「已經修好了」這句話說得太早。

圖片

下載分享圖(PNG) · 攻擊流程圖(可下載)

引用時請標示「PlainCVE」並附上本頁連結。 完整引用格式見下方「如何引用本頁」。有事實錯誤請回報.

如何引用本頁

本文採 CC BY 4.0,轉載請保留署名與連結。

PlainCVE 團隊(2026)。《AhsayCBS 備份伺服器 Replication Receiver 作業系統命令注入:遠端可在伺服器上執行指令,已遭實際利用》。PlainCVE。https://plaincve.date/vulns/cve-2026-105134-ahsaycbs-replication-command-injection(查閱日期:YYYY-MM-DD)
BibTeX
@misc{cve2026105134ahsaycbsreplicationcommandinjection2026,
  title  = {AhsayCBS 備份伺服器 Replication Receiver 作業系統命令注入:遠端可在伺服器上執行指令,已遭實際利用},
  author = {PlainCVE 團隊},
  year   = {2026},
  howpublished = {PlainCVE},
  url    = {https://plaincve.date/vulns/cve-2026-105134-ahsaycbs-replication-command-injection},
  note   = {更新於 2026-10-21}
}