AhsayCBS バックアップ・ソフトウェアの脆弱性 CVE-2026-105133／105134：実環境での悪用を確認

Attackers Exploit AhsayCBS Flaws to Deploy XMRig Miners Disguised as Microsoft Edge

2026/10/09 TheHackerNews — バックアップ・ソフトウェア AhsayCBS に存在する、前日に公開された 2 件の脆弱性を悪用する攻撃者が、影響を受けるシステムを乗っ取り、Web シェルや XMRig 暗号資産マイナーを展開していることが確認された。脆弱性の詳細は以下のとおりである。

  • CVE-2026-105133 (CVSS v4 スコア：5.5) – com/ahsay/obs/api/ApiStructsAction.java コンポーネント内の checkSysPwd() 関数に存在する、不適切な認証の脆弱性。
  • CVE-2026-105134 (CVSS v4 スコア：9.3) – Replication Receiver コンポーネントに存在する、OS コマンド・インジェクションの脆弱性。

これら 2 件の脆弱性を連鎖させるリモート攻撃者は、影響を受けるシステムの認証をバイパスすることで、任意のコマンド実行を引き起こす可能性がある。なお、これらの脆弱性に対する CVE 識別子が公開されたのは、2026年10月4日のことである。

Huntress によると、これら 2 件の脆弱性を狙った悪用活動は、2026年10月7日 23時20分 (UTC) に始まった。正体不明の攻撃者が脆弱性を悪用し、影響を受けるホスト上でリモートコード実行を実現している。2026年10月8日時点では、標的となった 5 組織が被害を受けたと推定されている。

Huntress は、「攻撃者は侵害後に、偵察活動／Web シェルの配置／Microsoft Edge を装う XMRig 暗号資産マイナーの設置などを行っている。また、AI の支援を受けて作成されたとみられる PowerShell スクリプトを配置し、Windows タスク・マネージャーを監視することで、夜間における長時間にわたるアクションを終了させている」と述べている。

この暗号資産マイナーは、edge.exe というファイル名を用いて Microsoft Edge ブラウザを装い、検出を回避していることが確認された。さらに、curl を通じて起動され、暗号資産のマイニング活動を支援する、PowerShell スクリプト (Taskgmr.ps1) も配置されている。

人工知能 (AI) ツールの支援により作成されたとみられるスクリプトには、被害者が Windows タスク・マネージャーを開くと、直ちにマイニング活動を停止させる解析回避機能が組み込まれている。また、タスク・マネージャーが、夜間に 1 時間以上開いた状態を検知すると、午後 6 時に終了させる設定も含まれている。

National Vulnerability Database (NVD) に公開されたアドバイザリでは、これらの問題は、ソフトウェアの最新バージョン 10.3.4 で修正済みとされている。しかし、その後に Huntress が明らかにしたのは、このバージョンも影響を受けることである。これにより、これらの脆弱性は事実上、ゼロデイ扱いとなっている。

少なくとも 1 件のインシデントでは、Windows 標準の certutil.exe を悪用する攻撃者が、正規のドライバでありながら脆弱性を抱える WinRing0x64.sys を、TEMP フォルダにダウンロードしたとされる。その目的は、基盤となるハードウェアへのカーネルレベルのアクセスを獲得し、マイニング処理を最適化することにあったとされる。

パッチが提供されていない状況では、管理インターフェイスへのアクセス制限と、侵害の兆候の調査が推奨される。

Huntress は、「この攻撃は、ホスト上で外部公開されている Web アプリケーション・サービスを標的としているため、ユーザー組織にとって必要なことは、AhsayCBS の管理インターフェイスへの Web アクセスの制限である。アクセス元を信頼できる IP アドレスのみに限定するか、VPN の使用を必須とする必要がある」と指摘している。

更新情報

Huntress は The Hacker News に対して、同じ手法が使用されたインシデントを新たに 1 件確認したが、より広範な悪用活動を示す証拠は確認されていないと述べている。

バックアップソフト AhsayCBS における深刻な不具合 CVE-2026-105133／CVE-2026-105134 について解説する記事です。認証迂回やコマンド挿入の欠陥放置に伴い、端末乗っ取り／不正プログラム設置／暗号資産マイニングといった不具合が生じる危険性があります。対象となる CVE は CVE-2026-105133／CVE-2026-105134 です。対象となる製品は AhsayCBS です。対応策として管理画面への接続制限／侵入痕跡の確認が求められます。