아사이CBS 보안 결함 악용, 웹쉘 및 채굴자 배포 후 수정안 발표

아사이 백업이 아사이CBS의 두 보안 결함을 해결하기 위해 보안 업데이트를 배포했다. 이 결함은 악의적인 행위자에 의해 웹쉘과 XMRig 암호화폐 채굴자를 심는 데 악용된 바 있다.

CVE-2026-105133과 CVE-2026-105134는 인증을 우회하고 영향을 받은 시스템에서 임의 명령을 실행하는 데 사용될 수 있다. 이 두 결함은 연쇄적으로 악용될 경우 인증 우회와 임의 코드 실행이 가능하다.

헨터스는 이번 달 초 보고서를 통해 두 결함을 결합해 인증 없이 원격 코드를 실행하고 웹쉘과 채굴자를 배포하는 공격을 관찰했다고 밝혔다.

초기에는 2026년 8월에 출시된 아사이CBS 버전 9.15.2.59와 10.3.4.0에서 결함이 해결된 것으로 assumed되었으나, 현재 소프트웨어 업체는 패치가 완전하지 않다고 확인했다.

수정안은 해당 버전 이후의 버전에 제공된다. 아사이는 "이러한 위험의 심각성을 고려할 때 즉각적인 조치를 취해 환경을 보호하고 고객의 데이터를 보호할 것"을 강력히 권고하며, 핫픽스 적용 후 서버를 재부팅할 것을 권고한다.

헨터스는 업데이트를 통해 "아사이CBS 10.3.4.45 핫픽스가 공격 체인의 초기 진입점을 완화했으며, 이전 v10 버전에서는 여전히 취약했다"고 독립적으로 검증했다고 밝혔다.

미국 사이버보안 및 인프라 보안 기관(CISA)은 이러한 결함을 알려진 악용 취약점 카탈로그에 추가했으며, 연방 기관은 2026년 10월 17일까지 패치를 적용하도록 요구한다.