استغل المهاجمون ثغرتين، CVE-2026-105133 وCVE-2026-105134، في AhsayCBS لتسليم برمجية تعتمد على Python. سمحت الثغرات بتجاوز المصادقة وتنفيذ التعليمات البرمجية عن بُعد بدون مصادقة، وفقًا للمصادر.

تمت ملاحظة الهجوم من قبل Huntress بين 8 و11 أكتوبر 2026. قامت جهة التهديد بنشر عدة قواقع ويب وزارعي العملات الرقمية XMRig على الأنظمة المخترقة، مستخدمة أدوات النفق وبرمجيات الوصول عن بُعد لتأسيس وصول دائم.

تم تصميم الباب الخلفي القائم على Python خصيصًا ليعمل فقط على المضيف الذي تم تجهيزه عليه ومنع التنفيذ في بيئة صندوق الرمل.

قد يكون المهاجمون استهدفوا الخوادم التي تحتوي أو تدير النسخ الاحتياطية، كما يتضح من وجود أوامر وحدة سرقة بيانات اعتماد Veeam.

أصدرت Ahsay Backup تحديثات أمنية لهذه الثغرات في منتصف أكتوبر 2026.