ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA, 14 Ekim 2026’da yedekleme sunucusu yazılımı AhsayCBS’teki iki açığı, etkin olarak kötüye kullanıldığına dair kanıt bulunan açıklar kataloğuna (KEV) ekledi. Üretici Ahsay ise 10 Ekim’de ilk uyarısını yayımladı; 12 Ekim’deki güncellemesinde de daha önce çıkardığı yamaların bu açıkları tam olarak gidermediğini açıkladı ve yeni düzeltmeler yayımladı.
Ne oldu
CVE-2026-105133, AhsayCBS’in API bileşenindeki sistem parolası denetimi işlevinde (checkSysPwd) bir kimlik doğrulama açığı. CISA’nın tanımına göre uzaktaki bir saldırgan, bir parametreyi değiştirerek kimlik doğrulamayı atlayabiliyor. CVE-2026-105134 ise Replication Receiver (çoğaltma alıcısı) bileşenindeki bir uç noktada işletim sistemi komutu enjeksiyonu; uzaktaki bir saldırganın sunucuda komut çalıştırmasına yol açabiliyor. CISA iki açığın birbirine zincirlenebileceğini belirtiyor.
NVD kayıtlarında, CVE’leri yayımlayan VulDB’nin puanları yer alıyor: komut enjeksiyonu için CVSS 3.1 ölçeğinde 10,0, kimlik doğrulama açığı için 7,3. Kayıtlara göre açıkları kullanan kod herkese açık. CISA, açıkların fidye yazılımı kampanyalarında kullanılıp kullanılmadığını “bilinmiyor” olarak işaretliyor.
Kimleri etkiler
Güncel düzeltme uygulanmamış tüm AhsayCBS sunucuları. NVD kayıtları 9.15.2.0–9.15.2.69 ve 10.3.4.0–10.3.4.44 sürümlerini etkilenen olarak gösteriyor. Ahsay’ın 12 Ekim güncellemesine göre v9.15.2.59 ve v10.3.4.0 yamaları da açıkları tam olarak kapatmıyor; yani bu sürümlere yükseltmiş sunucular da korunmuş sayılmıyor.
CISA, ABD federal kurumlarına açıklar için 17 Ekim’e kadar süre verdi. Komut enjeksiyonu açığı için ayrıca, sistemin yama öncesinde ele geçirilip geçirilmediğinin incelenmesini isteyen adli inceleme gereksinimini işaretledi.
Üretici ne öneriyor
Ahsay, v10 sürümlerini çalıştıranların AhsayCBS v10.3.4.45 düzeltmesini, v7, v8 ve v9 sürümlerini çalıştıranların v9.15.2.70 düzeltmesini uygulamasını istiyor. Düzeltmeler iş ortağı portalı hesabıyla indiriliyor ve kurulumdan sonra sunucunun yeniden başlatılması gerekiyor. Duyuruda açıkların ciddiyeti nedeniyle hemen harekete geçilmesi isteniyor.
