CVE.org (henüz NVD analizi yok)· CNA VulDB

CVE-2026-105133: Ahsay AhsayCBS API ApiStructsAction.java checkSysPwd improper authentication

Noroxi değerlendirmesi

Öncelik: Hemen (aksiyon skoru 82/100)

CISA bu açığın sahada sömürüldüğünü doğruladı (14 Eki 2026). ABD kamu kurumları için kapatma son tarihi 17 Eki 2026.
Hazır saldırı modülü yayımlanmış (Nuclei); sömürmek özel uzmanlık gerektirmiyor.
Önümüzdeki 30 günde sömürülme olasılığı %84,4 (FIRST EPSS); kayıtların %99,7 kadarından yüksek.
İnternetten erişebilen herkes tetikleyebilir. Hesap ya da parola gerekmez. Kullanıcının bir şey yapması gerekmez. Özel bir koşul gerekmez; tekrarlanabilir.
CISA'ya göre saldırı otomatikleştirilebilir: toplu taramalarla hedef bulunabilir.
Düzeltilmiş sürüm: Ahsay AhsayCBS 9.15.2.70.

Bugün yamayın ya da erişimi kapatın. Ahsay AhsayCBS 9.15.2.70 ya da daha yeni sürüme yükseltin.

Kaydın verisinden otomatik üretilir: CVSS (NVD ve CNA), CISA KEV ve SSVC, FIRST EPSS, istismar kaynakları, düzeltme sürümleri. Nasıl hesaplıyoruz

Birincil kaynaklar: NVD · CVE.org · CISA KEV · FIRST EPSS

A vulnerability was detected in Ahsay AhsayCBS up to 9.15.2.69/10.3.4.44. This affects the function checkSysPwd of the file com/ahsay/obs/api/ApiStructsAction.java of the component API. Performing a manipulation of the argument random results in improper authentication. It is possible to initiate the attack remotely. The exploit is now public and may be used. Upgrading to version 9.15.2.70 and 10.3.4.45 is able to mitigate this issue. It is recommended to upgrade the affected component. The initial patch did not fix the security vulnerability properly. An update of the CVE entry to reflect this became necessary.

OrtaCVSS 6.9 · v4.0KEVSilahlaştırılmış Düzeltme var

EUVD-2026-92079

Yayın: 4 Eki 2026
Güncelleme: 26 Eki 2026
EPSS: %84,4 · 99. yüzdelik
CWE: CWE-287

Rapor araçları

JSON

Aksiyon skoru

Hemen

Bugün yamayın ya da erişimi kapatın.

CVSS: 27 / 40 · 6.9 / 10
CISA KEV: 30 / 30 · Listede
EPSS: 25 / 30 · %84,4

CISA SSVC kararı

Sömürü: aktif
Otomatikleştirilebilir: evet
Teknik etki: kısmi

Vulnrichment: CISA'nın karar ağacı girdileri.

CNA ile NVD puanı

NVD: —
CNA · VulDB: 6,9; NVD henüz kendi puanını vermedi; gösterilen puan CNA’nın.

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N/E:A

Kaydı açan otoritenin puanı ile NVD’nin bağımsız puanı. İki puan arasındaki fark ciddiyetin tartışmalı olduğunu gösterir.

Sahada aktif sömürülüyor

CISA bu zafiyeti 14 Eki 2026 tarihinde fiilen sömürülen zafiyetler kataloğuna (KEV) ekledi. Bu, teoriyi değil, gerçek saldırıları işaret eder.

ABD federal kurumları için son yama tarihi: 17 Eki 2026.

Bu kayıt değişirse haber alın

CISA KEV'de: sahada sömürüldüğü doğrulandı
Silahlaştırılmış istismar var
Düzeltme yayımlandı

Bunlardan biri değişirse günlük e-posta özetinde haber veririz.

WordPress siteniz mi var? WP Lens ile ücretsiz tarayın

Sürümünüz etkileniyor mu? Kontrol edin

Noroxi analizi

Sizin ortamınızda ne anlama geliyor?

Yukarıdaki değerlendirme kaydın verisinden otomatik üretilir; ortamınızı bilmez. Bu açığın sizde gerçekten sömürülebilir olup olmadığını ve hangi önlemin yeteceğini ekibimiz sizin sistemlerinizde doğrular.

Bu ürünü kullanıyoruz, yardım isteyin

Etkilenen sistemler

Sürümünüz etkileniyor mu?

Ürünü seçip kullandığınız sürümü yazın. Bu kaydın sürüm aralıklarıyla tarayıcınızda karşılaştırılır; sürüm hiçbir yere gönderilmez.

Üretici	Ürün	CPE
ahsay	cloud backup suite	cpe:2.3:a:ahsay:cloud_backup_suite

Etkilenen sürümler

NVD sürüm aralıkları (katalogdaki ürünler için). Stack’inize sürümle eklerseniz eşleşme bunlarla yapılır.

ahsay cloud backup suite9.15.2.70 öncesi
ahsay cloud backup suite10.1.0 ve sonrası · 10.3.4.45 öncesi

Üreticinin bildirdiği sürümler

Kaydı açan otorite (VulDB) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.

Ahsay AhsayCBS
- 9.15.2.0, 9.15.2.1, 9.15.2.2, 9.15.2.3, 9.15.2.4, 9.15.2.5, 9.15.2.6, 9.15.2.7, 9.15.2.8, 9.15.2.9, 9.15.2.10, 9.15.2.11 … (+28)etkilenir

Aynı üründe

ahsay: tüm kayıtlar

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

CVE-2026-105134Ahsay AhsayCBS Replication Receiver UpdateReceivers.do os command injectionKEV
95Hemen
CVE-2019-10267An insecure file upload and code execution issue was discovered in Ahsay Cloud Backup Suite 8.1.0.50.
58Planlayın
CVE-2022-37027Ahsay AhsayCBS 9.1.4.0 allows an authenticated system user to inject arbitrary Java JVM options.
35İzleyin

Bu üründe bundan önce ve sonra yayımlananlar

← ÖncekiCVE-2019-1026526 Tem 2019 · An issue was discovered in Ahsay Cloud Backup Suite before 8.1.1.50.
31İzleyin
← ÖncekiCVE-2019-1026626 Tem 2019 · An issue was discovered in Ahsay Cloud Backup Suite before 8.1.1.50.
34İzleyin
← ÖncekiCVE-2020-58466 Oca 2020 · An insecure file upload and code execution issue was discovered in Ahsay Cloud Backup Suite 8.3.0.30 via a "PUT /obs/obm7/file/upload" reque
35İzleyin

Düzeltme

Hangi sürüme geçmeli

Üretici, paket deposu ve Microsoft kayıtlarından derlenen düzeltme sürümleri. Yükseltmeden önce üreticinin notunu doğrulayın.

Ürün / paket	Düzeltilmiş sürüm	Kaynak
Ahsay AhsayCBS	9.15.2.70 · description	Üretici (CNA)

İstismar durumu

Silahlaştırılmış

Bu zafiyet için hazır bir istismar aracı ya da sahada aktif kullanım biliniyor. Önceliğiniz en üst düzeyde olmalı.

Kanıt

Nuclei tespit şablonu ×1
GitHub’da kavram kanıtı deposu ×1

Noroxi istismar kodu barındırmaz ve istismar bağlantısı vermez. Metasploit modül adı ve Nuclei şablon kimliği gösterilir (kod değil, ad); Exploit-DB kayıtları ve PoC depoları yalnızca sayı olarak verilir.

Kamuya açık istismar kanıtı
Kaynak	Tür	Tarih
Nuclei tespit şablonu	Nuclei şablonu CVE-2026-105133	—
GitHub’da kavram kanıtı deposu	stars:6	2026-10-14

Araştırma bağlamı

Pentester ve araştırmacı için: saldırı profili, puan anlaşmazlığı, zaman çizelgesi, yama commit’leri, kredi, varyant ve zincir adayları, bug bounty kapsamı. Hepsi mevcut veriden türetilir; istismar kodu içermez.

Zaman çizelgesi

Yayından bugüne: kavram kanıtı, Metasploit modülü, CISA KEV ve düzeltme kaydı. Tarihler kaynakların bildirdiği tarihlerdir.

Yayın4 Eki 2026
Düzeltme kaydı4 Eki 2026aynı gün
İlk kavram kanıtı14 Eki 2026+10 gün
CISA KEV14 Eki 2026+10 gün
Bugün9 Kas 2026+36 gün

EPSS son 120 gün7 günde +%5

FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).

Yama ve commit bağlantıları

Referanslardaki commit, PR ve diff adresleri. Patch-diff ve varyant avı için başlangıç noktası; istismar değil, düzeltmedir.

Referanslarda commit ya da PR bağlantısı yok.

Kredi

Tüm araştırmacılar

CNA kaydında adı geçen bulan, bildiren ve analistler. Ada tıklayın, aynı araştırmacının diğer kayıtlarını görün.

nickc (VulDB User)bildiren
VulDB Vulnerability Moderation Teamkoordinatör

Varyant adayları

Aynı üründe aynı zafiyet sınıfı, 18 ay içinde. Yama kök nedeni kapatmadıysa kardeş hata burada olur.

Gece hesaplanan ilişki yok.

Zincir adayları

Aynı üründe kimlik doğrulama atlatma ile yetki isteyen bir açık kısa aralıkla yayımlanmış: birlikte kimlik doğrulamasız bir yola dönüşebilir.

—

Bug bounty kapsamı

Bilinen herkese açık program yok.

Kaynak: bounty-targets-data (HackerOne, Bugcrowd, Intigriti, YesWeHack herkese açık listeleri).

Teknik detay

Saldırı koşulları

İnternetten erişebilen herkes tetikleyebilir.
Hesap ya da parola gerekmez.
Kullanıcının bir şey yapması gerekmez.
Özel bir koşul gerekmez; tekrarlanabilir.

Başarılı olursa

Gizlilik
Bütünlük
Erişilebilirlik

Saldırı vektörü: Ağ
Karmaşıklık: Düşük
Gereken yetki: Yok
Kullanıcı etkileşimi: Gerekmez
Kapsam: X

Zayıflık sınıfı (CWE)

CWE-287 · Improper Authentication

CVSS vektörü

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N/E:A/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

nvd-secondary

Kök neden

Kimlik doğrulama tek bir merkezden değil, yol yol ekleniyor. Sonradan eklenen bir yol ortak ara katmanı atladığında, oturum kontrolü o yol için hiç çalışmaz.

Hatanın kod karşılığı

CWE-287 sınıfının tamamı

Bu zafiyet sınıfının temsili örneği. Üreticinin kaynak kodu değildir; hatalı kalıbı ve düzeltmesini gösterir.

Hatalı

1app.use("/admin", requireSession, adminRouter);
2

3// Sonradan eklenen yol, ara katmanı atlıyor
4app.post("/admin-api/config", updateConfig);

Düzeltilmiş

1const admin = express.Router();
2admin.use(requireSession, requireRole("admin"));
3

4admin.post("/config", updateConfig);
5app.use("/admin", admin);

Saldırı bağlamı

Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.

Saldırı desenleri (CAPEC)

ATT&CK teknikleri

Değişiklik günlüğü

CVSS5.5 → 6.926 Eki 2026 16:07 UTC
SSVC sömürünone → active14 Eki 2026 21:07 UTC
İstismar olgunluğunone → weaponized14 Eki 2026 20:07 UTC
KEV✗ → ✓14 Eki 2026 20:07 UTC
SSVC sömürü— → none5 Eki 2026 17:07 UTC
İstismar olgunluğu— → none4 Eki 2026 08:07 UTC
Düzeltme✗ → ✓4 Eki 2026 08:07 UTC
CVSS6.9 → 5.54 Eki 2026 08:07 UTC

Takip ettiğiniz kayıtlarda bu değişiklikler bildirim olarak da gelir. →

Referanslar

vuldb.com/cve/CVE-2026-105133

Tüm referansları göster (6 daha)

Üretici bildirimleri ve resmî kayıtlar. İstismar/PoC bağlantıları bilinçli olarak dışarıda bırakıldı.

Tüm kayıtlar

Noroxi analizi

Sizin ortamınızda ne anlama geliyor?

Bu ürünü kullanıyoruz, yardım isteyin

Veri kaynakları ve doğrulama

CNA: VulDB

CVE.org (CNA)26 Eki 2026 14:31 UTC
CISA ADP26 Eki 2026 14:31 UTC
NVD26 Eki 2026 18:07 UTC
CISA KEV14 Eki 2026 20:07 UTC
FIRST EPSS8 Kas 2026 00:00 UTC
Nuclei9 Kas 2026 03:18 UTC
PoC-in-GitHub9 Kas 2026 03:18 UTC

Her satır, o kaynağın bu kayıt için son işlendiği zamandır.