情報取得日: 2026/10/14・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-105134 |
|---|---|
| 製品 | Ahsay / AhsayCBS（Ahsay Cloud Backup Suite）v10 |
| CVSS | 10.0（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| 種別 (CWE) | CWE-78 OS コマンドインジェクション |
| 登録／公開日 | 2026/10/14 |
| KEV 期限 | 2026/10/17 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-105134 |
**バックアップサーバー製品 AhsayCBS に OS コマンドインジェクションの欠陥がある。** NVD に載った VulDB（CNA）の記述によれば、Replication Receiver の `/rps/api/json/UpdateReceivers.do` で `random` 引数を細工すると、遠隔から OS コマンドを実行できる。CVSS 3.1 は **10.0 Critical**（VulDB の評価。AV:N/AC:L/PR:N/UI:N/S:C）。NVD は2026年10月4日に公開した。 **認証回避の CVE-2026-105133 と連鎖して悪用されている。** Huntress は2026年10月7日から悪用を観測し、2つを組み合わせると認証なしで NT AUTHORITY\SYSTEM 権限のコード実行に至ると報告した。攻撃後には JSP ウェブシェル、暗号資産採掘ツール XMRig、常駐用の Windows サービスが置かれていた。CISA は2026年10月14日に KEV へ収載し、是正期限を **2026年10月17日**（収載から3日）とした。ランサムウェアでの利用は「不明」。 **最初の修正版では直っていなかった。** NVD の記述は「10.3.4 で解決」としているが、Huntress はその後 10.3.4 も影響を受けると訂正し、ホットフィックス 10.3.4.45（v7〜v9 は 9.15.2.70）の適用を案内している。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
EC2 上の AhsayCBS サーバーは、v10 系を 10.3.4.45、v7〜v9 系を 9.15.2.70 のホットフィックスで更新して再起動する（版は Ahsay パートナーポータルで要確認）。
AWS から本 CVE 個別の速報は確認できていない（2026-10-15 時点）。セキュリティグループで管理画面の到達元を絞る。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
Compute Engine 上の AhsayCBS サーバーは、v10 系を 10.3.4.45、v7〜v9 系を 9.15.2.70 のホットフィックスで更新して再起動する。
GCP から本 CVE 個別の速報は確認できていない（2026-10-15 時点）。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
Azure VM 上の AhsayCBS サーバーは、v10 系を 10.3.4.45、v7〜v9 系を 9.15.2.70 のホットフィックスで更新して再起動する。
Azure から本 CVE 個別の速報は確認できていない（2026-10-15 時点）。NSG で管理画面の公開範囲を確認する。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
Linux 上で動かしている AhsayCBS も同じホットフィックスで更新する。ディストリのパッケージではないので OS の更新では直らない。
Ubuntu USN / Red Hat RHSA / Debian security tracker には載らない。Huntress が観測した攻撃は Windows 上の AhsayCBS だった。
参照リンク
|
**AhsayCBS をホットフィックス適用済みの版にする。v10 系は 10.3.4.45、v7 / v8 / v9 系は 9.15.2.70**（Huntress が2026年10月12日のブログ更新で示した版。Huntress は 10.3.4.45 で最初の侵入口が塞がることを確かめたとしている）。適用後は再起動して、稼働中のビルドを確かめる。 **10.3.4.0 では足りない。** NVD の記述（VulDB が CNA）は「10.3.4 へ上げれば解決する」としているが、その後 Huntress が 10.3.4 も影響を受けると訂正し、報道によれば Ahsay も2026年10月10日に「10.3.4.0 は完全には対処していなかった」とパートナーに通知した。Ahsay の通知とホットフィックスはパートナーポータル（ログイン必須）でしか配布されておらず、本稿では Ahsay の原文を直接は確認できていない。版はパートナーポータルで公式に要確認。 **認証回避の CVE-2026-105133 と組み合わせて使われている。** 片方だけ塞いでも攻撃の連鎖は切れるが、ホットフィックスはまとめて当てる。 **侵害の確認を先にする。** 更新しても既に置かれたウェブシェルや常駐サービスは消えない。Huntress の報告では、AhsayCBS の Web アプリのディレクトリに置かれた JSP ウェブシェル、`cbssvcX64.exe` から起動された不審な子プロセス、`MicrosoftEdgeUpdateSvc` という名前の Windows サービス、XMRig（`edge.exe`）の設置が見つかっている。見つかった場合、Huntress は信頼できるバックアップからのホストの作り直しを勧めている。 **更新までの間**は、AhsayCBS の管理画面と API への到達を信頼できる IP か VPN 経由に限る。 **完了条件**は、（1）全ての AhsayCBS サーバーが 10.3.4.45（v7〜v9 は 9.15.2.70）以上で再起動済みであること、（2）上記の痕跡が無いことを確認したこと、の2点である。
Critical（CVSS 10.0）に分類されるAhsay AhsayCBS（Ahsay Cloud Backup Suite）v10の脆弱性です。**バックアップサーバー製品 AhsayCBS に OS コマンドインジェクションの欠陥がある。** NVD に載った VulDB（CNA）の記述によれば、Replication Receiver の `/rps/api/json/UpdateReceivers.do` で `random` 引数を細工すると、遠隔から OS コマンドを実行できる。CVSS 3.1 は **10.0 Critical**（VulDB の評価。AV:N/AC:L/PR:N/UI:N/S:C）。NVD は2026年10月4日に公開した。 **認証回避の CVE-2026-105133 と連鎖して悪用されている。** Huntress は2026年10月7日から悪用を観測し、2つを組み合わせると認証なしで NT AUTHORITY\SYSTEM 権限のコード実行に至ると報告した。攻撃後には JSP ウェブシェル、暗号資産採掘ツール XMRig、常駐用の Windows サービスが置かれていた。CISA は2026年10月14日に KEV へ収載し、是正期限を **2026年10月17日**（収載から3日）とした。ランサムウェアでの利用は「不明」。 **最初の修正版では直っていなかった。** NVD の記述は「10.3.4 で解決」としているが、Huntress はその後 10.3.4 も影響を受けると訂正し、ホットフィックス 10.3.4.45（v7〜v9 は 9.15.2.70）の適用を案内している。
**AhsayCBS をホットフィックス適用済みの版にする。v10 系は 10.3.4.45、v7 / v8 / v9 系は 9.15.2.70**（Huntress が2026年10月12日のブログ更新で示した版。Huntress は 10.3.4.45 で最初の侵入口が塞がることを確かめたとしている）。適用後は再起動して、稼働中のビルドを確かめる。 **10.3.4.0 では足りない。** NVD の記述（VulDB が CNA）は「10.3.4 へ上げれば解決する」としているが、その後 Huntress が 10.3.4 も影響を受けると訂正し、報道によれば Ahsay も2026年10月10日に「10.3.4.0 は完全には対処していなかった」とパートナーに通知した。Ahsay の通知とホットフィックスはパートナーポータル（ログイン必須）でしか配布されておらず、本稿では Ahsay の原文を直接は確認できていない。版はパートナーポータルで公式に要確認。 **認証回避の CVE-2026-105133 と組み合わせて使われている。** 片方だけ塞いでも攻撃の連鎖は切れるが、ホットフィックスはまとめて当てる。 **侵害の確認を先にする。** 更新しても既に置かれたウェブシェルや常駐サービスは消えない。Huntress の報告では、AhsayCBS の Web アプリのディレクトリに置かれた JSP ウェブシェル、`cbssvcX64.exe` から起動された不審な子プロセス、`MicrosoftEdgeUpdateSvc` という名前の Windows サービス、XMRig（`edge.exe`）の設置が見つかっている。見つかった場合、Huntress は信頼できるバックアップからのホストの作り直しを勧めている。 **更新までの間**は、AhsayCBS の管理画面と API への到達を信頼できる IP か VPN 経由に限る。 **完了条件**は、（1）全ての AhsayCBS サーバーが 10.3.4.45（v7〜v9 は 9.15.2.70）以上で再起動済みであること、（2）上記の痕跡が無いことを確認したこと、の2点である。
Ahsay AhsayCBS（Ahsay Cloud Backup Suite）v10 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-105134）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/10/17 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください。