Khai thác lỗ hổng AhsayCBS để cài miner XMRig
"Attackers are exploiting two AhsayCBS vulnerabilities, CVE-2026-105133 (improper authentication) and CVE-2026-105134 (OS command injection), to bypass authentication and execute arbitrary commands on exposed systems. The post-exploitation activity includes web shells, XMRig cryptominers disguised as Microsoft Edge, and a PowerShell script with anti-analysis behavior; mitigation guidance is to restrict access to the management interface and limit it to trusted IPs or VPN until patching is available."
Rủi ro thực thi mã từ xa và chiếm quyền hệ thống trên dịch vụ lộ Internet; có thể dẫn đến đào tiền mã hóa trái phép và cài web shell để duy trì truy cập.
Có thể gây suy giảm hiệu năng máy chủ, tăng chi phí vận hành và làm gián đoạn dịch vụ sao lưu; cần ưu tiên giới hạn truy cập quản trị và giám sát dấu hiệu bất thường.
Các tác nhân tấn công đang khai thác hai lỗ hổng mới công bố trong AhsayCBS để chiếm quyền điều khiển hệ thống, triển khai web shell và cài XMRig nhằm đào tiền mã hóa. Hai lỗi được nêu gồm CVE-2026-105133 (xác thực không đúng, CVSS 5.5) và CVE-2026-105134 (chèn lệnh hệ điều hành, CVSS 9.3). Khi kết hợp, chúng cho phép kẻ tấn công bỏ qua xác thực và thực thi lệnh tùy ý trên máy chủ bị lộ ra Internet.
Theo ghi nhận, hoạt động khai thác bắt đầu từ 07/10/2026 và đã ảnh hưởng đến ít nhất 5 tổ chức tính đến 08/10/2026. Sau khi xâm nhập, đối tượng còn thả PowerShell script có cơ chế chống phân tích, đặt miner giả dạng trình duyệt Microsoft Edge với tên edge.exe, và trong một số trường hợp dùng certutil.exe để tải driver WinRing0x64.sys.
Trong khi chờ bản vá, khuyến nghị hạn chế truy cập giao diện quản trị AhsayCBS, chỉ cho phép từ IP tin cậy hoặc qua VPN, đồng thời rà soát dấu hiệu xâm nhập như web shell, tiến trình edge.exe bất thường và hoạt động tải tệp đáng ngờ.