据TechRadar报道，安全研究机构Huntress发现，威胁行为者利用Ahsay Cloud Backup Suite（AhsayCBS）备份软件的两个漏洞，入侵企业用于灾难恢复的备份服务器，并在系统中部署网页后门和伪装成微软Edge进程的XMRig挖矿程序。截至10月8日，至少五家组织已被攻击，相关漏洞虽已获缓解，但攻击仍在进行，研究人员要求受影响用户立即修补并限制管理界面访问。
AhsayCBS是由总部位于香港的同名公司开发的基于服务器的备份管理平台。企业、托管服务提供商和IT管理员用它管理设备及客户备份，涉及虚拟和物理服务器、数据库以及多种软件环境，IT服务商常用其管理客户数据。此次事件的核心是2026年10月4日公开的两个漏洞：CVE-2026-105113和CVE-2026-105134。前者为中危漏洞，影响checkSysPwd函数，可导致身份验证不当；后者为严重漏洞，影响Replication Receiver组件，可导致攻击者在主机上以NT AUTHORITY/SYSTEM权限实现未经身份验证的远程代码执行。
Huntress解释，该API存在身份验证绕过，攻击者可用随机令牌替代有效凭据。利用漏洞后，威胁行为者配置恶意接收器，并将Java Server Page网页后门放入CBS应用所服务的应用目录。公开披露三天后，攻击者开始利用这些漏洞：先绕过身份验证，再获取代码执行权限，在暴露系统上部署网页后门。这些网页后门主要充当中转下载器，进一步部署多种第二阶段可执行文件。
研究人员还看到攻击者部署了名为XMRig的流行挖矿程序。XMRig是合法的开源矿工，利用计算机硬件、电力和互联网挖掘门罗币，并将收益存入攻击者钱包。门罗币因隐私优先、难以在区块链上追踪，常被用于未经授权的挖矿活动。攻击者费力隐藏XMRig：将其伪装成微软Edge进程，并安装为假的Edge更新服务。还有一段看似由AI编写的脚本，会在任务管理器打开时关闭矿工，并在一个小时后关闭任务管理器。
备份通常被视为抵御勒索软件攻击的最强保护之一。几乎所有网络安全机构和意见领袖都建议组织部署备份并经常维护和控制，确保其不过时或损坏。备份服务器可被相对轻易攻破，应引起警惕。受影响企业可认为自己幸运，仅感染XMRig而非遭遇完整的勒索软件加密器。Huntress称，截至10月8日至少五家组织已被针对。因此所有使用AhsayCBS的组织必须尽快应用补丁。该工具10.3.4及之前所有版本均受影响。
除应用修复外，组织还应限制AhsayCBS管理界面的网页访问，因为该漏洞利用针对主机上对外可访问的Web应用服务。Huntress表示，访问应仅限于可信IP地址或要求使用VPN。如果发现其博客列出的任何入侵指标，公司应从可信备份进行完整主机重镜像，因为攻击者已能隐藏次要后门以实现长期持久化。