情報取得日: 2026/10/14・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-105133 |
|---|---|
| 製品 | Ahsay / AhsayCBS（Ahsay Cloud Backup Suite）v10 |
| CVSS | 7.3（High） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L |
| 種別 (CWE) | CWE-287 不適切な認証 |
| 登録／公開日 | 2026/10/14 |
| KEV 期限 | 2026/10/17 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-105133 |
**バックアップサーバー製品 AhsayCBS の API に認証を回避される欠陥がある。** NVD に載った VulDB（CNA）の記述によれば、`com/ahsay/obs/api/ApiStructsAction.java` の `checkSysPwd` 関数で `random` 引数を細工すると、遠隔から認証を回避できる。CVSS 3.1 は **7.3 High**（VulDB の評価。AV:N/AC:L/PR:N/UI:N。CVSS 4.0 では 5.5 Medium）。NVD は2026年10月4日に公開した。 **単体の点数より危険度は高い。** Huntress の報告では、攻撃者はまずこの欠陥で認証を回避し、続けてコマンドインジェクションの CVE-2026-105134（CVSS 10.0）で SYSTEM 権限のコード実行に至っている。悪用は2026年10月7日から観測された。CISA は2026年10月14日に KEV へ収載し、是正期限を **2026年10月17日**とした。ランサムウェアでの利用は「不明」。 **最初の修正版では直っていなかった。** NVD の記述は「10.3.4 で緩和できる」としているが、Huntress は 10.3.4 も影響を受けると訂正した。Huntress によれば、Ahsay が2026年10月12日に出したホットフィックスはこの認証回避を塞ぐもので、v10 系は 10.3.4.45、v7〜v9 系は 9.15.2.70 である。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
EC2 上の AhsayCBS サーバーは、v10 系を 10.3.4.45、v7〜v9 系を 9.15.2.70 のホットフィックスで更新して再起動する（版は Ahsay パートナーポータルで要確認）。
AWS から本 CVE 個別の速報は確認できていない（2026-10-15 時点）。セキュリティグループで管理画面の到達元を絞る。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
Compute Engine 上の AhsayCBS サーバーは、v10 系を 10.3.4.45、v7〜v9 系を 9.15.2.70 のホットフィックスで更新して再起動する。
GCP から本 CVE 個別の速報は確認できていない（2026-10-15 時点）。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
Azure VM 上の AhsayCBS サーバーは、v10 系を 10.3.4.45、v7〜v9 系を 9.15.2.70 のホットフィックスで更新して再起動する。
Azure から本 CVE 個別の速報は確認できていない（2026-10-15 時点）。NSG で管理画面の公開範囲を確認する。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
Linux 上で動かしている AhsayCBS も同じホットフィックスで更新する。ディストリのパッケージではないので OS の更新では直らない。
Ubuntu USN / Red Hat RHSA / Debian security tracker には載らない。Huntress が観測した攻撃は Windows 上の AhsayCBS だった。
参照リンク
|
**AhsayCBS をホットフィックス適用済みの版にする。v10 系は 10.3.4.45、v7 / v8 / v9 系は 9.15.2.70**（Huntress が2026年10月12日のブログ更新で示した版。Huntress は 10.3.4.45 で最初の侵入口が塞がることを確かめたとしている）。適用後は再起動して、稼働中のビルドを確かめる。 **10.3.4.0 では足りない。** NVD の記述（VulDB が CNA）は「10.3.4 へ上げれば解決する」としているが、その後 Huntress が 10.3.4 も影響を受けると訂正し、報道によれば Ahsay も2026年10月10日に「10.3.4.0 は完全には対処していなかった」とパートナーに通知した。Ahsay の通知とホットフィックスはパートナーポータル（ログイン必須）でしか配布されておらず、本稿では Ahsay の原文を直接は確認できていない。版はパートナーポータルで公式に要確認。 **コマンドインジェクションの CVE-2026-105134 と組み合わせて使われている。** 片方だけ塞いでも攻撃の連鎖は切れるが、ホットフィックスはまとめて当てる。 **侵害の確認を先にする。** 更新しても既に置かれたウェブシェルや常駐サービスは消えない。Huntress の報告では、AhsayCBS の Web アプリのディレクトリに置かれた JSP ウェブシェル、`cbssvcX64.exe` から起動された不審な子プロセス、`MicrosoftEdgeUpdateSvc` という名前の Windows サービス、XMRig（`edge.exe`）の設置が見つかっている。見つかった場合、Huntress は信頼できるバックアップからのホストの作り直しを勧めている。 **更新までの間**は、AhsayCBS の管理画面と API への到達を信頼できる IP か VPN 経由に限る。 **完了条件**は、（1）全ての AhsayCBS サーバーが 10.3.4.45（v7〜v9 は 9.15.2.70）以上で再起動済みであること、（2）上記の痕跡が無いことを確認したこと、の2点である。
High（CVSS 7.3）に分類されるAhsay AhsayCBS（Ahsay Cloud Backup Suite）v10の脆弱性です。**バックアップサーバー製品 AhsayCBS の API に認証を回避される欠陥がある。** NVD に載った VulDB（CNA）の記述によれば、`com/ahsay/obs/api/ApiStructsAction.java` の `checkSysPwd` 関数で `random` 引数を細工すると、遠隔から認証を回避できる。CVSS 3.1 は **7.3 High**（VulDB の評価。AV:N/AC:L/PR:N/UI:N。CVSS 4.0 では 5.5 Medium）。NVD は2026年10月4日に公開した。 **単体の点数より危険度は高い。** Huntress の報告では、攻撃者はまずこの欠陥で認証を回避し、続けてコマンドインジェクションの CVE-2026-105134（CVSS 10.0）で SYSTEM 権限のコード実行に至っている。悪用は2026年10月7日から観測された。CISA は2026年10月14日に KEV へ収載し、是正期限を **2026年10月17日**とした。ランサムウェアでの利用は「不明」。 **最初の修正版では直っていなかった。** NVD の記述は「10.3.4 で緩和できる」としているが、Huntress は 10.3.4 も影響を受けると訂正した。Huntress によれば、Ahsay が2026年10月12日に出したホットフィックスはこの認証回避を塞ぐもので、v10 系は 10.3.4.45、v7〜v9 系は 9.15.2.70 である。
**AhsayCBS をホットフィックス適用済みの版にする。v10 系は 10.3.4.45、v7 / v8 / v9 系は 9.15.2.70**（Huntress が2026年10月12日のブログ更新で示した版。Huntress は 10.3.4.45 で最初の侵入口が塞がることを確かめたとしている）。適用後は再起動して、稼働中のビルドを確かめる。 **10.3.4.0 では足りない。** NVD の記述（VulDB が CNA）は「10.3.4 へ上げれば解決する」としているが、その後 Huntress が 10.3.4 も影響を受けると訂正し、報道によれば Ahsay も2026年10月10日に「10.3.4.0 は完全には対処していなかった」とパートナーに通知した。Ahsay の通知とホットフィックスはパートナーポータル（ログイン必須）でしか配布されておらず、本稿では Ahsay の原文を直接は確認できていない。版はパートナーポータルで公式に要確認。 **コマンドインジェクションの CVE-2026-105134 と組み合わせて使われている。** 片方だけ塞いでも攻撃の連鎖は切れるが、ホットフィックスはまとめて当てる。 **侵害の確認を先にする。** 更新しても既に置かれたウェブシェルや常駐サービスは消えない。Huntress の報告では、AhsayCBS の Web アプリのディレクトリに置かれた JSP ウェブシェル、`cbssvcX64.exe` から起動された不審な子プロセス、`MicrosoftEdgeUpdateSvc` という名前の Windows サービス、XMRig（`edge.exe`）の設置が見つかっている。見つかった場合、Huntress は信頼できるバックアップからのホストの作り直しを勧めている。 **更新までの間**は、AhsayCBS の管理画面と API への到達を信頼できる IP か VPN 経由に限る。 **完了条件**は、（1）全ての AhsayCBS サーバーが 10.3.4.45（v7〜v9 は 9.15.2.70）以上で再起動済みであること、（2）上記の痕跡が無いことを確認したこと、の2点である。
Ahsay AhsayCBS（Ahsay Cloud Backup Suite）v10 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-105133）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/10/17 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください。