Angreifer übernehmen derzeit Backup-Server der Software AhsayCBS, ohne sich dafür anmelden zu müssen. Betroffen ist die zentrale Verwaltung, die Datensicherungen und Wiederherstellungen steuert. Ein Update, das der Hersteller zunächst als sicher bezeichnet hatte, schloss die Lücken nicht vollständig. Wir fassen zusammen, was bekannt ist und was du jetzt prüfen solltest.
Was bei Ahsay passiert ist
Ahsay entwickelt Backup-Software für Managed-Service-Provider (MSP), Systemhäuser und Unternehmen. Die Server-Komponente AhsayCBS (Cloud Backup Server) verwaltet Backup-Aufträge, Benutzer, Richtlinien und Speicherziele. Genau diese Verwaltung ist jetzt das Einfallstor.
Das Sicherheitsunternehmen Huntress beobachtet, dass Angreifer zwei Schwachstellen aktiv ausnutzen. Sie verschaffen sich ohne gültige Zugangsdaten Zugriff und führen auf betroffenen Windows-Servern Befehle mit Systemrechten aus. Bis zum 8. Oktober hat Huntress Angriffe bei fünf Organisationen erkannt. Das ist keine weltweite Opferzahl, sondern nur die Zahl der Fälle, die der Anbieter selbst gesehen hat.
Die beiden Schwachstellen im Detail
Es geht um CVE-2026-105133 und CVE-2026-105134. Sie betreffen die Anmeldung und die Befehlsverarbeitung im Replication Receiver. Laut Huntress lässt sich durch die Kombination beider Lücken Schad-Code ausführen, ohne dass der Angreifer Zugangsdaten braucht.
Wer eine Backup-Verwaltung kontrolliert, kann unter Umständen auch Zugänge und Wiederherstellungsprozesse beeinflussen. Ob bei den bisherigen Angriffen Sicherungsdaten verändert oder gelöscht wurden, ist nicht belegt.
Webshells und Kryptominer auf den Servern
Auf den kompromittierten Servern fanden sich JSP-Webshells. Darüber behalten Angreifer den Zugriff, auch wenn die ursprüngliche Lücke später geschlossen wird. Außerdem installierten sie den Kryptominer XMRig. Dateien und Dienste waren als Komponenten von Microsoft Edge getarnt. Ein PowerShell-Skript sollte die Mining-Aktivität verbergen, sobald ein Administrator den Task-Manager öffnet.
Belegt sind damit die Übernahme und der Missbrauch der Server. Eine Zerstörung oder ein Abfluss von Backup-Daten ist nicht belegt.
Das Update, das nicht ausreichte
Am 9. Oktober stufte Ahsay die Version 10.3.4.0 zunächst als geschützt ein. Einen Tag später räumte der Hersteller ein, dass der Patch die Lücken nicht vollständig schließt. Huntress hatte zuvor auch vor Angriffsmöglichkeiten auf die aktuelle Version gewarnt.
Betreiber von Version-10-Installationen sollen den Hotfix 10.3.4.45 über das Partnerportal einspielen und den Server danach neu starten. Eine unabhängige Bestätigung, dass der Hotfix wirkt, gibt es bislang nicht.
Was du jetzt tun solltest
Zuerst die Frage, ob dich das überhaupt betrifft: Nutzt du AhsayCBS selbst, oder sichert dein IT-Dienstleister deine Daten über eine Ahsay-Plattform? Frag im Zweifel direkt nach. Wenn ja, gilt:
- Spiel den Hotfix 10.3.4.45 ein und starte den Server neu.
- Mach die Verwaltungsoberfläche nicht frei aus dem Internet erreichbar. Zugriffe sollten nur aus dem internen Netz oder über ein VPN möglich sein.
- Such nach ungewöhnlichen Unterprozessen, neuen JSP-Dateien und verdächtigen Diensten, die sich als Microsoft Edge ausgeben. Huntress hat dafür technische Indikatoren veröffentlicht.
- Prüfe, ob dein Server schon vor dem Patch angegriffen wurde. Ein Patch entfernt keine Hintertür, die bereits installiert ist.
Wenn der Server bereits kompromittiert wurde
Bei einer bestätigten Kompromittierung reicht Patchen nicht. Hintertüren können bestehen bleiben. Huntress empfiehlt, den Server vertrauenswürdig neu aufzusetzen und alle Zugangsdaten zu prüfen, die auf dem System erreichbar waren. Dazu zählen Passwörter, Schlüssel und hinterlegte Zugänge zu Speicherzielen. MSP müssen zusätzlich klären, welche Mandanten und Backup-Ziele betroffen sein könnten.
Was wir daraus mitnehmen
Viele Unternehmen sorgen dafür, dass ihre Backups unveränderlich sind oder offline liegen. Das ist richtig. Der Fall Ahsay zeigt aber, dass auch die Verwaltung der Datensicherung abgesichert sein muss. Wer sie übernimmt, steuert, was gesichert und was wiederhergestellt wird.
Hier greifen die Prinzipien von Zero Trust: Zugriffe begrenzen, Berechtigungen auf das Nötige reduzieren und Systeme laufend überprüfen. Für ein Unternehmen mit 10 oder 30 Arbeitsplätzen heißt das konkret: Admin-Oberflächen gehören nicht ins offene Internet, Updates werden zeitnah eingespielt, und jemand prüft regelmäßig, ob die Backups sich tatsächlich wiederherstellen lassen.
Wir prüfen deine Backup-Umgebung
Wir betreuen Unternehmen in Weiterstadt und Umgebung mit 3 bis 50 Arbeitsplätzen. Wenn du unsicher bist, ob dein Backup-System betroffen ist oder wie gut die Verwaltung deiner Datensicherung geschützt ist, schauen wir gemeinsam mit dir drauf. Melde dich bei uns, wir klären das mit dir.
Hinweis: Dieser Beitrag wurde von Sandra (KI-Unterstützung) erstellt.