先說結論：使用 AhsayCBS 備份伺服器的團隊，今天應把 CVE-2026-105133 與 CVE-2026-105134 視為同一處置工作，核對實際安裝的熱修補版，並檢查十月以來的未授權管理活動。Ahsay 在十月十二日更正先前說法，明確表示 v9.15.2.59 與 v10.3.4.0 並未完整處理這兩項弱點；v9 需依指示套用 v9.15.2.70，v10 則需 v10.3.4.45。美國 CISA 在十月十四日將兩個編號納入已知遭利用漏洞目錄。本文在台北時間十月十九日重查 Ahsay 的修補公告、後續狀態更新與 CISA 原始資料，分清『已下載更新』、『已真正修正』及『過去可能受害』三件事。
背景與前因：AhsayCBS 是集中管理備份工作的伺服器軟體，會涉及備份帳號、儲存位置、復原作業與合作夥伴替客戶管理的服務。它若失去可信性，影響可能不只是一個網頁管理畫面；備份與還原流程也需要重新核對。Ahsay 十月十三日的狀態更新說明，原廠從十月九日起收到合作夥伴通報，有些 AhsayCBS 伺服器出現未授權存取；十月十日推出 v10 熱修補，十月十二日推出 v9 熱修補，十月十三日再提供受害判斷與復原指引。這些是廠商收到的事件訊號，不能直接推定所有使用 AhsayCBS 的組織都受害。
原因與前置條件：CISA 將 CVE-2026-105133 分類為驗證不當，也就是系統未能可靠確認呼叫者是否有權使用某些功能；將 CVE-2026-105134 分類為命令注入，即不可信輸入可能被當作作業系統指令處理。CISA 說明兩個漏洞可串連，讓原本不應通過驗證的人進一步觸及更嚴重的執行風險。這裡的『可串連』是技術上可能互相配合，不表示每一件異常登入都依相同方式發生，也不表示某個讀者的備份資料已被取走。本文不列出可重現的請求、參數內容或攻擊指令，因為管理者需要的是可查證的修補與調查順序。
影響範圍：Ahsay 的十月十二日更正公告特別重要。它指出較早的 v9.15.2.59 與 v10.3.4.0 並未完整修正 CVE-2026-105133 和 CVE-2026-105134；因此，看到 v10.3.4.0 不能就把設備標成安全。對受影響的 v10，原廠要求安裝 v10.3.4.45 熱修補；對 v9，要求安裝 v9.15.2.70。原廠對仍在 v7、v8 的合作夥伴另建議先升級至 v9.15.0.0，再套用 v9.15.2.70。熱修補是加在現有版本上的修正，單看主版本數字會漏掉最後的修訂尾碼；變更完成後還須依原廠要求重新啟動伺服器。
這裡有一段容易誤判的公告時間線。Ahsay 在十月九日曾表示，升到 v10.3.4.0 即不再受兩個漏洞影響；十月十日與十二日的後續公告推翻了『已完全修正』的結論，並提供新的熱修補。對十月九日依當時公告核對版本的維運團隊，重新查核是必要的，不能以舊公告或舊變更單作為今天的最終證明。對尚未安裝新熱修補的部署，應依現行公告處理；對已修補的部署，也仍需問一個不同問題：修補之前是否曾有未授權存取。更新關閉已知弱點，不會自動移除先前可能留下的帳號、設定或檔案變更。
CISA 目錄顯示兩個 CVE 均於十月十四日新增，並明列它們可以形成攻擊鏈；這使處置優先級高於只憑公開嚴重度分數排序的做法。CISA 對 CVE-2026-105134 標示應做鑑識分流，也就是先判斷哪些設備需要更深入的證據調查；兩個條目的勒索軟體活動欄均為未知。這些資料支持加速修補與調查，卻不能拿來指認攻擊者、估計全球受害量或推論某家客戶的資料必定外洩。目錄中的十月十七日處置期限屬美國聯邦政策背景，不是台灣所有業者的共同法定期限。
你可以怎麼做：先盤點每個 AhsayCBS 執行個體，記下部署位置、對外可達性、負責的合作夥伴、完整版本與熱修補尾碼，並從正在運作的伺服器回讀，而非只查下載檔或更新工單。v10、v9 與舊版升級路徑不同，應由負責人依 Ahsay 現行指示、授權與相容性安排維護。安裝修補前保留設定與作業紀錄、評估備份排程的中斷風險；安裝後重新啟動，核對版本及備份、復原、管理登入與複寫等主要功能。若管理入口不必向所有來源開放，應限制可達範圍，但這只能降低接觸機會，不能替代修補。
調查時，應把十月九日前後的管理紀錄、帳號新增、權限變動、接收端設定、系統檔案異動與備份作業異常放在同一時間線上核對。Ahsay 的狀態更新列出異常資料夾、非預期的網頁程式檔、未授權複寫接收端及新增高權限帳號等警訊；這些是需要查證的線索，不應把任一相似檔名或單一警報直接當成已確認入侵。優先保存伺服器外部的監控與身分紀錄，並比對已核准的維護變更。若證據不足，應明白記錄『尚未確認』，不要因沒有看到原廠列出的項目就宣告伺服器安全。
若已確認遭到未授權存取，Ahsay 建議完整重建備份伺服器，再從事件發生前的可信設定版本復原，並安裝對應熱修補。這是對已受影響設備的復原建議，不是要求每一台尚未調查的設備立即清除資料。事件應變人員應先保存證據、辨認受影響的管理帳號與備份目的地，評估是否需要輪替密鑰或重建相關信任關係，再安排經測試的復原順序。只把伺服器升到新版本，無法保證過去新增的高權限帳號、異常接收端或被更動的檔案會隨之消失；復原後仍須驗證備份可用性與授權設定。
目前可確認的界線是：Ahsay 已修正『舊版修補足夠』的說法，公布 v9.15.2.70 與 v10.3.4.45 的適用方向，也說明曾收到合作夥伴的未授權存取通報；CISA 已把兩個可串連的漏洞列為已知遭利用。公開資料無法替個別讀者確認實際安裝尾碼、遭接觸的伺服器、事件開始時間或備份內容是否受影響。維運紀錄應分別保存新熱修補的安裝與回讀、重啟及功能測試、異常線索調查，以及有證據時的重建和復原結果。這樣才能在供應商說法更新時作出可檢驗的判斷，而不是沿用已被更正的舊公告。
官方來源：
- (Update) Critical Security Alert: Immediate Action Required for CVE-2026-105133 and CVE-2026-105134（Ahsay）
- AhsayCBS Vulnerability Status Update（Ahsay）
- Known Exploited Vulnerabilities Catalog, CVE-2026-105133 and CVE-2026-105134（美國網路安全暨基礎設施安全局 CISA）
這篇觀察對你有幫助嗎？
支持 Darknoted 持續維護隔離研究環境、資料查核與內容更新。
了解如何支持本站更新紀錄
：完成公開內容與 metadata 更新。