バックアップ製品「AhsayCBS」の脆弱性に再修正パッチ、8月の不完全な修正受け悪用が継続

要点

• シンガポールのAhsay Backup社は、バックアップ製品「AhsayCBS」の脆弱性に対処する新たなホットフィックスを公開した。

• 対象となる2件の脆弱性（CVE-2026-105133、CVE-2026-105134）が悪用され、Webシェルや暗号資産マイナーが設置される被害が確認されている。

• 2026年8月に提供された過去のパッチでは欠陥が完全に塞がれておらず、不完全な修正だったことが判明した。

• セキュリティ企業Huntressは、新パッチが攻撃チェーンの侵入経路を緩和することを独自に検証したと報告している。

• 米サイバーセキュリティ・インフラセキュリティ庁（CISA）は本脆弱性を警告カタログに追加し、連邦政府機関へ10月17日までの適用を義務付けた。

• シンガポールに拠点を置くバックアップソフトウェア企業Ahsay Backupは、同社製品「AhsayCBS」に存在する2件のセキュリティ脆弱性に対処する新たな修正パッチ（ホットフィックス）を公開した。これらは攻撃者によって悪用され、Webシェルや暗号資産マイナーを送り込む手口が確認されている。同社は2026年8月にも修正版を提供していたが、パッチが不完全で脆弱性が残存していたことを認め、サーバー管理者に対して迅速な再アップデートとサーバーの再起動を呼びかけている。

脆弱性の連鎖による未認証リモートコード実行と悪用被害

今回修正されたのは、「CVE-2026-105133」および「CVE-2026-105134」として管理されている2件の脆弱性だ。これら2つの欠陥は連鎖的に悪用されるリスクがあり、攻撃者が認証を迂回した上で、システム上で任意のコマンドを実行できる状態を作り出すという。これにより、認証情報を持たない外部の第三者が遠隔から任意のコードを実行（リモートコード実行：遠隔地からシステムを意図通りに不正操作する攻撃手法）可能になる。

セキュリティ企業Huntressが2026年10月上旬に公開したレポートによると、インターネット上に露出しているAhsayCBSサーバーに対し、脅威アクターがこの2つの欠陥を組み合わせて悪用している実態が確認された。攻撃者は未認証のリモートコード実行を達成した後、遠隔操作を可能にするWebシェル（Webサーバーを通じて外部から不正操作を行うプログラム）や、仮想通貨マイニングツール「XMRig」を展開していたという。

8月リリースのパッチが不完全だったと判明

本件で特に注目されているのが、脆弱性への対応が一度完了したとみなされていた点である。Ahsay社は当初、2026年8月に公開したAhsayCBSバージョン「9.15.2.59」および「10.3.4.0」によって、これらの脆弱性への対処を完了したと判断していた。

しかし、その後のHuntressによる調査や実際の攻撃観測によって、8月のアップデートでは欠陥が完全には塞がれていなかった事実が浮き彫りとなった。この指摘を受けてAhsay社側でも検証が行われ、従来のパッチでは不十分であり、脆弱性が残存していたことが正式に確認された。一度は対策を完了したと見なしていた運用環境であっても、依然として攻撃にさらされる状態が続いていたことが明らかになった形だ。

新たなホットフィックスの提供とベンダーによる注意喚起

不完全なパッチの判明を受け、Ahsay社は新たに以下のホットフィックス（緊急の不具合や欠陥を解消するために配布される修正プログラム）を公開した。

• AhsayCBS v10.3.4.45 hotfix
• AhsayCBS v9.15.2.70 hotfix

Ahsay社は発表の中で「リスクの重大性を考慮し、環境の安全確保と顧客データ保護のため直ちに対応することを強く推奨する」と述べ、管理者に対処を促している。あわせて「ホットフィックスの適用後はサーバーを再起動してほしい」と明記し、確実な反映を求めている。

この修正についてHuntressは更新情報の中で、最新の「AhsayCBS 10.3.4.45 hotfix」により、従来のバージョン10系で脆弱であった攻撃チェーンの初期侵入ポイントが緩和されていることを独自に検証したと報告している。

米CISAがKEVカタログに追加、連邦機関に適用を義務付け

実際の悪用が確認されたことを受け、米サイバーセキュリティ・インフラセキュリティ庁（CISA）も対応に乗り出した。CISAは2026年10月14日付で、これら2件の脆弱性を悪用が確認された脆弱性カタログ（KEV）に追加した。

KEVカタログは現実にサイバー攻撃で悪用された脆弱性をまとめた一覧であり、追加された脆弱性については米連邦政府機関に対して迅速なパッチ適用が義務付けられる。CISAは各機関に対し、2026年10月17日までに修正プログラムを適用するよう定めている。