AhsayCBS Açıklarına Yönelik Yamalar Yetersiz Kaldı, Yeni Hotfix'ler Yayımlandı

Singapur merkezli yedekleme yazılımı şirketi Ahsay Backup, AhsayCBS ürününde tespit edilen ve tehdit aktörlerince aktif biçimde kullanılan iki kritik güvenlik açığına karşı yeni güvenlik güncellemeleri yayımladı. Şirket, daha önce yayımlanan yamaların açıkları tam olarak kapatmadığını doğrularken yeni hotfix sürümleri kullanıcıları derhal uygulamaya davet etti.

İki Açık Zinciri: Kimlik Doğrulamayı Atlayıp Kod Çalıştırma​

Söz konusu güvenlik açıkları CVE-2026-105133 ve CVE-2026-105134 olarak tanımlanıyor. Bu iki zayıflık birlikte kullanıldığında saldırganların kimlik doğrulama mekanizmasını aşmasına ve etkilenen sistemlerde rastgele komut çalıştırmasına olanak tanıyor. Güvenlik araştırma şirketi Huntress, bu ayın başında yayımladığı raporunda tehdit aktörlerinin her iki açığı zincir halinde kullanarak kimlik doğrulaması gerektirmeden uzaktan kod yürütme elde ettiğini ve bu yolla hedef sistemlere web shell ile XMRig kripto para madencisi yerleştirdiğini belgeledi.
Açıkların ciddiyeti, yalnızca bireysel sistemleri değil, Ahsay'ın yedekleme altyapısına bağlı müşteri verilerini de tehdit altına alması bakımından dikkat çekici. Web shell yerleştirilmesi, saldırganlara ele geçirilen sistemde kalıcı ve gizli bir erişim kapısı açarken XMRig madencisi de sistem kaynaklarını izinsiz biçimde tüketiyor.

Önceki Yamalar Neden Yetersiz Kaldı?​

Ahsay, açıkların Ağustos 2026'da yayımlanan AhsayCBS 9.15.2.59 ve 10.3.4.0 sürümleriyle giderildiğini başlangıçta duyurmuştu. Ancak şirket daha sonra bu yamaların güvenlik açıklarını tamamen kapatmadığını teyit etti. Eksik yama sorunu, özellikle aktif istismar altındaki açıklar söz konusu olduğunda ciddi bir risk oluşturuyor; zira kullanıcılar sistemlerinin güvende olduğunu düşünürken saldırıya açık kalmaya devam edebiliyor.
Huntress da konuya ilişkin güncelleme paylaşarak AhsayCBS 10.3.4.45 hotfix'inin saldırı zincirinin ilk giriş noktasını kapattığını bağımsız olarak doğruladığını açıkladı. Şirket, söz konusu giriş noktasının önceki v10 sürümlerinde hâlâ istismar edilebilir durumda olduğunu da vurguladı.

Yeni Hotfix Sürümleri ve Uygulama Zorunluluğu​

Ahsay'ın yayımladığı güncel düzeltmeler iki ayrı sürüm dalını kapsıyor. Kullanıcıların aşağıdaki sürümlerden birine yükseltme yapması gerekiyor:

• AhsayCBS v10.3.4.45 hotfix
• AhsayCBS v9.15.2.70 hotfix

\n
Ahsay, açıklamasında bu risklerin ciddiyeti göz önünde bulundurulduğunda kullanıcıların ortamlarını güvence altına almak ve müşteri verilerini korumak için derhal harekete geçmesini şiddetle tavsiye ettiğini belirtti. Şirket ayrıca hotfix uygulandıktan sonra sunucunun yeniden başlatılması gerektiğini de hatırlattı.

CISA Devreye Girdi: Federal Kurumlar İçin Son Tarih Belirlendi​

Açıkların aktif olarak istismar edilmesi, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı'nı (CISA) harekete geçirdi. CISA, CVE-2026-105133 ve CVE-2026-105134'ü Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna ekleyerek federal kurumların yamaları 17 Ekim 2026 tarihine kadar uygulamasını zorunlu kıldı. KEV kataloğuna eklenmesi, açıkların yalnızca teorik bir risk olmadığını, sahada fiilen kullanıldığını resmi düzeyde tescil ediyor.

Sıkça Sorulan Sorular​

AhsayCBS'teki bu güvenlik açıkları tam olarak ne yapıyor?​

CVE-2026-105133 ve CVE-2026-105134 olarak tanımlanan iki açık, birlikte kullanıldığında saldırganların kimlik doğrulama adımını atlamasına ve etkilenen sistemlerde rastgele komut çalıştırmasına olanak tanıyor. Bu yolla saldırganlar sisteme web shell ve XMRig kripto para madencisi yerleştirebiliyor.

Ahsay'ın daha önce yayımladığı yamalar neden işe yaramadı?​

Ahsay, Ağustos 2026'da AhsayCBS 9.15.2.59 ve 10.3.4.0 sürümleriyle açıkların kapatıldığını duyurmuştu; ancak şirket daha sonra bu yamaların güvenlik açıklarını tam olarak gidermediğini doğruladı. Bu nedenle yeni hotfix sürümleri yayımlandı.

Hangi AhsayCBS sürümleri bu sorunu gideriyor?​

Ahsay'ın yayımladığı yeni hotfix sürümleri AhsayCBS v10.3.4.45 ve AhsayCBS v9.15.2.70'tir. Hotfix uygulandıktan sonra sunucunun yeniden başlatılması gerekiyor.

Huntress bu güvenlik açıklarıyla ilgili ne tespit etti?​

Huntress, tehdit aktörlerinin her iki açığı zincir halinde kullanarak kimlik doğrulaması gerektirmeden uzaktan kod yürütme sağladığını ve hedef sistemlere web shell ile XMRig kripto para madencisi yerleştirdiğini raporladı. Şirket ayrıca AhsayCBS 10.3.4.45 hotfix'inin saldırı zincirinin ilk giriş noktasını kapattığını bağımsız olarak doğruladı.

CISA bu açıklar için ne gibi bir yaptırım uyguladı?​

CISA, CVE-2026-105133 ve CVE-2026-105134'ü Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna ekleyerek ABD federal kurumlarının yamaları 17 Ekim 2026 tarihine kadar uygulamasını zorunlu kıldı.