Trusted Design

解説:

CVE-2026-105134は、AhsayCBSバックアップユーティリティに存在する深刻な脆弱性です。この脆弱性は、AhsayCBSのReplication Receiverコンポーネント内のOSコマンドインジェクションの欠陥であり、認証されていないリモートの攻撃者が任意のオペレーティングシステムコマンドをAhsayCBSサービスアカウントの権限で実行することを可能にします。

1. 脆弱性の概要

1.1 影響

この脆弱性が悪用されると、攻撃者はホスト上でNT AUTHORITY/SYSTEMとして認証なしにリモートコード実行（RCE）を達成できます。これにより、サーバーが完全に侵害され、バックアップリポジトリに保存されている機密データの流出、重要なファイルの変更または削除、ウェブシェルやXMRigクリプトマイナーなどのマルウェアのインストール、および侵害されたホストを足がかりにした内部ネットワーク内の他のシステムへの横方向の移動につながる可能性があります。

1.2 深刻度

この脆弱性は深刻度が緊急 (Critical) と評価されており、CVSS v4スコアは9.3です。 これはOSコマンドインジェクションの脆弱性（CWE-77/CWE-78）に分類されます。 攻撃者は、しばしばCVE-2026-105133（認証バイパスの脆弱性）と組み合わせてこの脆弱性を悪用し、初期アクセスを獲得します。

2. 対象となる環境

2.1 影響を受けるOSバージョン

具体的なOSバージョンは明記されていませんが、AhsayCBSアプリケーションが動作するホストに影響を与えます。 NT AUTHORITY/SYSTEMとしてのRCEが可能なことから、主にWindows環境に影響を及ぼすことが示唆されます。

2.2 影響を受ける設定

AhsayCBSのバージョン10.3.4以前がこの脆弱性の影響を受けます。 初期の報告ではバージョン10.3.2までが影響を受けるとされていましたが、その後の調査でバージョン10.3.4も影響を受けることが判明しました。 この脆弱性は、Replication Receiverコンポーネントの/rps/api/json/UpdateReceivers.doエンドポイントに存在します。

3. 影響を受けた時の兆候

侵害の兆候としては以下が挙げられます。

• AhsayCBS実行可能ファイル（例: cbssvcX64.exe）から起動される疑わしいコマンドラインの存在。
• アプリケーションディレクトリ内にウェブシェルが展開されている。
• Microsoft EdgeになりすましたXMRigクリプトマイナー（例: edge.exe）がインストールされている。
• Windowsタスクマネージャーを監視し、長時間開いているとシャットダウンするAIアシスト型のPowerShellスクリプト（例: Taskgmr.ps1）の存在。
• 侵害後の偵察活動の実施。

4. 推奨対策

4.1 本対策

• AhsayCBSのホットフィックスの適用:
  • AhsayCBS v10バージョン（10.3.4.0を含む）は、ホットフィックス10.3.4.45を適用する必要があります。
  • AhsayCBS v7, v8, v9バージョンは、ホットフィックス9.15.2.70を適用する必要があります。
• 影響を受けるコンポーネントをアップグレードしてください。
• ベンダーの指示およびCISAのBOD 26-04「リスクに基づくセキュリティ更新プログラムの優先順位付け」に従って、緩和策を適用してください。

4.2 暫定回避策（緩和策）

• AhsayCBSの管理インターフェースへのアクセスを制限してください。
• 侵害の兆候がないか調査を実施してください。
• コマンド内の特殊な要素を無効化するために、厳格な入力検証（「既知の適切なものを許容する」入力検証戦略）を実装してください。

参照したサイト

• Threat Actors Exploit Critical AhsayCBS Flaws to Drop Webshells and XMRig Cryptominer
• Known Exploited Vulnerabilities Catalog | CISA
• CVE-2026-105134 in AhsayCBS - VulDB
• CVE-2026-105134 - CVE Record
• CVE-2026-105134 - Vulnerability Details - OpenCVE
• Unauthenticated OS Command Injection in AhsayCBS Replication Receiver (CVE-2026-105134) - Mallory.ai
• Unpatched AhsayCBS Vulnerabilities Exploited in the Wild - SecurityWeek
• CVE-2026-105134 | Vulnerability Database | Aqua Security
• NVD-CVE-2026-105134 - NIST
• Attackers Exploit AhsayCBS Flaws to Deploy XMRig Miners Disguised as Microsoft Edge