AhsayCBS : deux failles exploitées ouvrent une chaîne de compromission à distance

De la publication des CVE à l’urgence imposée par la CISA

Deux vulnérabilités d’AhsayCBS, CVE-2026-105133 et CVE-2026-105134, ont été publiées le 4 octobre 2026. AhsayCBS est la console centrale du logiciel de sauvegarde d’Ahsay, notamment utilisée par des prestataires informatiques et des intégrateurs pour administrer des comptes, des politiques de sauvegarde et des réplications. Son exposition à Internet donne donc à une compromission potentielle une portée qui dépasse un simple poste utilisateur.

Huntress indique avoir observé les premières tentatives d’exploitation le 7 octobre à 23 h 20 UTC. Au 8 octobre, l’entreprise disait avoir vu cinq organisations ciblées dans son propre parc de clients. Ce chiffre décrit uniquement sa visibilité et ne constitue pas un bilan mondial. Ahsay a publié le 12 octobre une alerte révisée, puis la CISA a ajouté les deux identifiants à son catalogue Known Exploited Vulnerabilities le 14 octobre. Cette inscription confirme une exploitation dans des conditions réelles et fixe au 17 octobre l’échéance prévue par la directive fédérale américaine BOD 26-04.

Une première faille ouvre l’accès, la seconde atteint le système

CVE-2026-105133 concerne la fonction checkSysPwd d’un composant API. En manipulant le paramètre « random », un attaquant distant peut contourner le contrôle d’authentification. Ce défaut sert de point d’entrée : il permet de franchir la vérification censée protéger les opérations administratives sans disposer d’identifiants valides.

CVE-2026-105134 se situe dans le composant Replication Receiver, via l’endpoint /rps/api/json/UpdateReceivers.do. La même donnée contrôlée peut être interprétée comme une commande par le système d’exploitation. Selon Huntress, les attaquants enchaînent les deux vulnérabilités : ils contournent d’abord l’authentification, configurent ensuite un récepteur de réplication malveillant, puis obtiennent une exécution de code à distance sous le compte NT AUTHORITY\SYSTEM sur Windows. Ce niveau de privilèges leur donne le contrôle de l’hôte concerné.

Webshells, mineur XMRig et persistance camouflée

Après l’exploitation, Huntress a observé le dépôt de webshells JSP dans le répertoire servi par l’application. Un webshell est une porte dérobée accessible par le Web qui permet de transmettre de nouvelles commandes au serveur. Des processus lancés par le service AhsayCBS, notamment cbssvcX64.exe, ont aussi téléchargé plusieurs charges dans des répertoires temporaires.

L’activité documentée comprend un mineur de cryptomonnaie XMRig renommé edge.exe, ainsi qu’une copie modifiée de l’utilitaire NSSM renommée msedge.exe. Les attaquants ont créé un service Windows appelé MicrosoftEdgeUpdateSvc afin d’imiter le service de mise à jour de Microsoft Edge et de relancer le mineur avec les privilèges SYSTEM. Sur au moins un système, ils ont également téléchargé le pilote vulnérable WinRing0x64.sys afin de donner au mineur un accès de bas niveau au matériel.

Un script PowerShell surveillait par ailleurs l’ouverture du Gestionnaire des tâches : il arrêtait le service de minage lorsque l’outil était visible, puis le redémarrait après sa fermeture. Huntress décrit aussi des fonctions destinées à fermer le Gestionnaire des tâches à certaines heures. Ces observations établissent une volonté de persistance et de dissimulation, mais elles ne permettent pas d’affirmer que toutes les compromissions AhsayCBS suivent exactement la même séquence.

Les premiers correctifs Ahsay étaient insuffisants

La correction demande une attention particulière, car les versions initialement présentées comme protectrices ne l’étaient pas complètement. Dans son avis du 12 octobre, Ahsay précise que les correctifs v9.15.2.59 et v10.3.4.0 ne traitaient pas entièrement CVE-2026-105133 et CVE-2026-105134. Les exploitations observées par Huntress incluaient d’ailleurs des systèmes en version 10.3.4.

Ahsay demande aux partenaires utilisant une version v10 d’installer le hotfix AhsayCBS 10.3.4.45. Les installations v7, v8 et v9 doivent recevoir le hotfix 9.15.2.70. Les deux fichiers sont distribués dans le portail partenaire de l’éditeur et exigent un compte valide. Après installation, le serveur doit être redémarré. Huntress indique avoir vérifié indépendamment que le hotfix 10.3.4.45 bloque le point d’entrée initial de la chaîne sur la branche v10.

La mise à jour ne remplace pas la réduction de l’exposition. L’interface d’administration AhsayCBS ne devrait pas être directement accessible depuis l’ensemble d’Internet : son accès doit être limité à des adresses de confiance ou placé derrière un VPN. Pour la CISA, l’analyse de l’exposition Internet de chaque actif fait partie du traitement attendu. L’agence marque aussi CVE-2026-105134 comme nécessitant un triage forensique dans le cadre de BOD 26-04, contrairement à CVE-2026-105133.

Corriger, puis vérifier si l’attaque a déjà eu lieu

Les responsables doivent commencer par inventorier les serveurs AhsayCBS, leurs versions et leur exposition réseau. Il faut appliquer le hotfix correspondant à la branche réellement installée, redémarrer le service comme demandé par Ahsay et vérifier que l’interface de gestion n’est accessible qu’aux administrateurs autorisés. Se contenter de constater la présence de la version 10.3.4 n’est pas suffisant : c’est le niveau de hotfix 10.3.4.45 qui compte pour la branche v10.

La recherche de compromission doit examiner les processus inhabituels engendrés par cbssvcX64.exe ou cbssvcX86.exe, les fichiers JSP inattendus dans l’application, les binaires edge.exe ou msedge.exe dans les répertoires temporaires, le service MicrosoftEdgeUpdateSvc et la présence anormale de WinRing0x64.sys. Huntress recommande une réinstallation complète de l’hôte depuis une sauvegarde de confiance lorsque ces indicateurs sont découverts, car une porte dérobée secondaire peut survivre à la simple suppression du mineur.

L’identité des attaquants, le nombre total de victimes et l’étendue géographique de la campagne ne sont pas établis par les sources consultées. La CISA classe également comme inconnu l’éventuel emploi de ces vulnérabilités dans une campagne de rançongiciel. L’urgence repose donc sur des faits plus précis : une chaîne exploitable à distance, des compromissions déjà observées, des correctifs initiaux incomplets et une nouvelle version corrective explicitement demandée par l’éditeur.