Huntress 2026 年 11 月 9 日的跟进报告披露，攻击者在 2026 年 10 月 8 日至 11 日（厂商热修复发布之前）利用 AhsayCBS 的两个漏洞入侵备份服务器，并在主机上植入多类后门与挖矿程序。这两个漏洞均已于 2026 年 10 月 14 日列入 CISA 已知被利用漏洞目录（KEV），联邦修复期限 10 月 17 日已过。本文只讲防御：受影响版本、修复版本与自查步骤。
漏洞与影响范围
漏洞链由两项组成：CVE-2026-105133 为 API 组件的认证绕过；CVE-2026-105134 为复制接收器接口的操作系统命令注入，CVSS 10.0。两者串联后，未授权攻击者可接管备份服务器。受影响版本为 AhsayCBS 9.15.2.69 及以下、10.3.4.44 及以下。
备份服务器是高价值目标：它保存着虚拟化平台、备份存储库与域账号等凭据。Huntress 确认，本次入侵中攻击者除了部署挖矿程序，还在同一环境内一台相关的 Veeam 服务器上执行了查询备份数据库凭据的操作，表明攻击者有意针对备份基础设施，而非偶然波及。
修复版本
请按所用版本线升级并重启服务器：
- v10 用户：安装 AhsayCBS v10.3.4.45 热修复。
- v7、v8、v9 用户：安装 AhsayCBS v9.15.2.70 热修复。
- 安装热修复后请重启服务器。
注意：厂商已明确，早期热修复 v9.15.2.59 与 v10.3.4.0 并未完全修复这两个漏洞，只装早期版本仍不安全，必须用到上述版本。Ahsay 另已发布 10.3.6.1，包含附加安全加固，建议一并跟进到最新版本。
关键点：只打补丁不够，失陷主机须重装
补丁只能堵住入口，不能清除已经植入的东西。Huntress 在受害主机上发现：多类 JSP Web Shell、两个挖矿程序（一个伪装成 Microsoft Edge，另一个以 kvm-agent.exe 通过 SYSTEM 计划任务每分钟重启）、一个与主机绑定的 Python 后门（只在原主机上运行，内存加载模块联系命令控制服务器），以及隧道工具、远程接入软件与 Defender 排除项配置。这些持久化手段在打补丁后仍然存在。
因此，确认或怀疑已被入侵的主机，不能只打补丁了事。按厂商官方建议：重装备份服务器的操作系统，安装最新版 AhsayCBS，再从早于入侵时间的 Auto Save 配置版本恢复（至少早于可疑文件创建时间一天），同时轮换备份系统内保存的全部凭据。
自查清单
- 查版本：低于 9.15.2.70（v7–v9）或 10.3.4.45（v10）的立即升级并重启。
- 查磁盘根目录可疑文件夹：如 ahsay_ts、ahsay_t8、ahsay_t9、ahsay_t20、ahsay_t21、srv、user、opt 等非正常新建目录。
- 查 Web 目录：%CBS%\webapps 下随机命名的 JSP 文件，以及异常的小写字母数字文件夹。
- 查配置：未授权新增的 RPS 接收器、未授权的 Admin 类型账号。
- 查系统：异常的计划任务、可疑的 Defender 排除项、未授权安装的远程接入工具。
- 查凭据：评估备份服务器保存的凭据是否可能已被读取，必要时全部轮换。
发现上述任一迹象，应按整机失陷处理：隔离主机、重装系统、从入侵前的配置恢复、轮换凭据，并核查备份数据本身是否被动过。
来源：CISA KEV 官方目录（两漏洞 2026-10-14 列入）；NVD（CVE-2026-105134 CVSS 10.0）；Ahsay 官方安全公告（2026-10-12）；Huntress 跟进报告（2026-11-09，经 The Hacker News 2026-11-10 报道）。