Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-77
  • CWE-78

CVE-2026-105134

Ahsay AhsayCBS Replication Receiver bileşeninde işletim sistemi komut enjeksiyonu

AhsayCBS

Kritik 10,0 CVSS 3.1
Yayımlandı
Güncellendi
26 Eki 2026
Açık yaşı
24 gün
Kaydı açan
VulDB
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 14 Eki 2026 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 17 Eki 2026.

Yönetici özeti

Yedekleme sunucusu olarak kullanılan AhsayCBS'te, internetten kimlik doğrulaması olmadan sunucuyu ele geçirmeye izin veren kritik bir açık vardır. Açık aktif olarak istismar edilmektedir ve istismar kodu herkese açıktır. Yedekleme verilerinin çalınma veya silinme riski nedeniyle güncelleme acilen yapılmalıdır.

ÖzetTürkçe

Ahsay AhsayCBS'in Replication Receiver bileşenindeki UpdateReceivers.do uç noktasında, random parametresinin işlenmesinden kaynaklanan bir işletim sistemi komut enjeksiyonu açığı bulunmaktadır. Açık 9.15.2.69 ve 10.3.4.44 dahil olmak üzere bu sürümlere kadar olan AhsayCBS sürümlerini etkilemektedir. Saldırı ağ üzerinden uzaktan gerçekleştirilebilir, kimlik doğrulama veya kullanıcı etkileşimi gerektirmez. İlk yama açığı tam olarak gidermediği için kayıt güncellenmiş, istismar kodu yayımlanmıştır ve açık CISA KEV listesine eklenmiştir.

Saldırgan ne yapabilir?

Saldırgan, sunucu üzerinde kimlik doğrulaması olmadan işletim sistemi komutları çalıştırarak sistemin tam denetimini ele geçirebilir. Bu durum verilerin okunmasına, değiştirilmesine veya silinmesine ve hizmetin kesintiye uğramasına yol açabilir.

Kaynaktaki açıklama (İngilizce)

A flaw has been found in Ahsay AhsayCBS up to 9.15.2.69/10.3.4.44. This vulnerability affects unknown code of the file /rps/api/json/UpdateReceivers.do of the component Replication Receiver. Executing a manipulation of the argument random can lead to os command injection. It is possible to launch the attack remotely. The exploit has been published and may be used. Upgrading to version 9.15.2.70 and 10.3.4.45 is able to resolve this issue. Upgrading the affected component is advised. The initial patch did not fix the security vulnerability properly. An update of the CVE entry to reflect this became necessary.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

Ne yapmalı?

  1. AhsayCBS'i üretici tarafından düzeltilmiş sürüme yükseltin: 9.15.x kolundaki sistemlerde 9.15.2.70, 10.x kolundaki sistemlerde 10.3.4.45 sürümüne geçin. İlk yama açığı tam kapatmadığı için eski yamaya güvenmeyin. Genel öneri
  2. CISA'nın gereklilikleri doğrultusunda üretici talimatlarına göre önlemleri uygulayın, her varlığın internete açıklığını değerlendirin ve CISA'nın adli analiz (forensics triage) gereksinimlerini izleyin. Önlem uygulanamıyorsa ürünün kullanımını sonlandırın. CISA
  3. Yükseltme tamamlanana kadar AhsayCBS yönetim ve replikasyon arayüzlerine internetten erişimi güvenlik duvarı ile kısıtlayın. Genel öneri
  4. Sistemin daha önce ele geçirilmiş olabileceğini varsayarak olağandışı işlemleri, yeni hesapları ve beklenmeyen giden bağlantıları inceleyin. Genel öneri

Ek önlemler

  • Yedekleme sunucusunu doğrudan internete açmak yerine VPN veya IP kısıtlaması arkasında çalıştırın. Genel öneri
  • UpdateReceivers.do uç noktasına yönelik şüpheli istekleri web sunucusu ve uygulama günlüklerinde izleyin. Genel öneri
  • AhsayCBS hizmetini mümkün olan en düşük yetkili hesapla çalıştırın ve yedekleme sunucusunu ağın diğer bölümlerinden ayırın. Genel öneri
  • Yedeklerin çevrimdışı veya değiştirilemez bir kopyasını tutun ve geri yükleme testlerini düzenli yapın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
AhsayCBS 9.15.2.0 –
9.15.2.1 –
9.15.2.2 –
9.15.2.3 –
9.15.2.4 –
9.15.2.5 –
9.15.2.6 –
9.15.2.7 –
9.15.2.8 –
9.15.2.9 –
9.15.2.10 –
9.15.2.11 –

ve 105 satır daha

Kaynaklar9 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.