Ahsay AhsayCBS Komut Enjeksiyonu Zafiyeti

Özet: Ahsay AhsayCBS’de, Replication Receiver bileşenindeki bir endpoint üzerinden komut enjeksiyonuna izin veren bir zafiyet (CVE-2026-105134) bulundu. Bu zafiyet, uzak bir saldırganın işletim sistemi komutlarını çalıştırmasına olanak tanıyor ve aktif olarak istismar ediliyor.

Bu haber, Ahsay AhsayCBS yedekleme çözümünde tespit edilen ve CISA KEV kataloğunda yer alan bir komut enjeksiyonu zafiyetini (CVE-2026-105134) duyuruyor. Zafiyet, Replication Receiver bileşenindeki /rps/api/json/UpdateReceivers.do endpoint’indeki random parametresinin manipülasyonu yoluyla uzak bir saldırganın işletim sistemi komutlarını çalıştırmasına izin veriyor. Bu, sistemin tamamen ele geçirilmesi potansiyeli taşıyor.

Komut enjeksiyonu, bir uygulamanın kullanıcı tarafından sağlanan verileri doğrudan bir işletim sistemi komutuna dahil etmesi durumunda ortaya çıkan bir güvenlik açığıdır. Saldırgan, özel karakterler veya komut ayırıcılar kullanarak uygulamanın beklediği komutun yanına kendi komutlarını ekleyebilir. Bu durumda, random parametresi, uygulamanın arka planda bir komut oluştururken kullandığı bir girdi olabilir ve bu girdi düzgün sanitize edilmediği için istismar edilebilir.

Canlı sistemler ve altyapı için bu zafiyetin etkisi çok ciddi olabilir. AhsayCBS gibi yedekleme çözümleri, genellikle tüm sistemlerin ve verilerin yedeğini tuttuğu için kritik bir rol oynar. Bu sistemin ele geçirilmesi, tüm yedekleme altyapısının tehlikeye girmesine, veri sızıntısına, fidye yazılımı saldırılarına veya sistemlerin kalıcı olarak bozulmasına yol açabilir. Zafiyetin CVE-2026-105133 ile zincirlenebilmesi, saldırının etkisini daha da artırabilir.

Ahsay AhsayCBS kullanan mühendislerin bu zafiyet için yayınlanan yamaları derhal uygulaması gerekmektedir. Ayrıca, yedekleme sunucularının ağ segmentasyonu ile izole edilmesi, güçlü erişim kontrolleri ve düzenli güvenlik denetimleri yapılması, bu tür riskleri azaltmak için önemlidir.

🔗 Kaynak: CISA KEV Catalog
📡 Takip edilen kaynaklar ve akış: Radar