AhsayCBS : deux failles exploitées, Ahsay publie un nouveau correctif après un premier échec

La société de détection et de réponse Huntress a signalé le 8 octobre 2026 l'exploitation active de deux vulnérabilités du serveur de sauvegarde AhsayCBS, de l'éditeur Ahsay. Les premières attaques ont été observées le 7 octobre. Au 8 octobre, cinq organisations avaient été ciblées. Les deux failles, CVE-2026-105133 et CVE-2026-105134, avaient été rendues publiques le 4 octobre dans la base américaine NVD.

Un correctif qui ne suffit pas

Selon les fiches CVE publiées dans la NVD, les versions jusqu'à la 10.3.2 étaient touchées et la version 10.3.4 corrigeait les deux failles. Mais Huntress a publié une mise à jour le 8 octobre au soir : la version 10.3.4, la plus récente, est elle aussi touchée. Huntress dit avoir contacté l'éditeur. BleepingComputer l'a aussi sollicité : au moment de la publication de son article, le 9 octobre, Ahsay n'avait pas répondu. Aucun correctif efficace n'était alors disponible.

Comment se déroule l'attaque

D'après Huntress, l'attaquant enchaîne les deux failles :

• CVE-2026-105133, de gravité moyenne, permet de contourner l'authentification ;
• CVE-2026-105134, critique, touche le composant Replication Receiver. Elle permet d'exécuter du code sans authentification avec les droits SYSTEM.

L'attaquant configure ensuite un récepteur de réplication malveillant et dépose des webshells JSP, de petits programmes qui donnent un accès à distance au serveur. Il installe aussi le mineur de Monero XMRig, déguisé en navigateur Edge (edge.exe). Ce mineur est maintenu actif par un faux service Windows, MicrosoftEdgeUpdateSvc. Un script PowerShell, Taskgmr.ps1, qui aurait été écrit avec l'aide d'une IA selon Huntress, arrête le minage dès que le Gestionnaire des tâches est ouvert. Dans un cas, l'attaquant a aussi chargé le pilote vulnérable WinRing0x64.sys pour accéder plus directement au matériel.

Le minage semble être l'objectif visible. Huntress prévient toutefois que l'attaquant a pu installer d'autres portes dérobées.

Que faire ?

• Restreindre l'accès à l'interface d'administration d'AhsayCBS aux seules adresses IP de confiance, ou la placer derrière un VPN.
• Rechercher des traces : processus enfants inhabituels de cbssvcX64.exe, service MicrosoftEdgeUpdateSvc suspect, fichiers edge.exe ou msedge.exe hors des dossiers normaux d'Edge, connexions vers xmr.kryptex[.]network sur le port 8029.
• En cas de compromission, reconstruire le serveur à partir d'une sauvegarde saine plutôt que de le nettoyer.
• Utiliser les indicateurs de compromission et les quatre règles Sigma publiés par Huntress, et surveiller la sortie d'un correctif d'Ahsay.

Mise à jour du 14 octobre 2026

Du nouveau pour les failles du serveur de sauvegarde AhsayCBS, exploitées depuis le 7 octobre pour déposer des webshells et un mineur de cryptomonnaie. Selon eSecurity Planet, l'éditeur Ahsay a reconnu, dans un avis daté du 10 octobre, que la version 10.3.4.0 ne corrigeait pas correctement CVE-2026-105133 (contournement d'authentification) et CVE-2026-105134 (exécution de code à distance). Il demande aux partenaires qui utilisent la version 10 d'installer le correctif 10.3.4.45, puis de redémarrer leurs serveurs.

Ce correctif est distribué par le portail partenaires d'Ahsay, réservé aux clients authentifiés. Huntress indique avoir vérifié de façon indépendante que la version 10.3.4.45 bloque le point d'entrée initial, auquel les versions 10 antérieures restaient vulnérables. Par ailleurs, une mise à jour ne supprime pas les accès déjà installés par un attaquant. Les serveurs exposés depuis le 7 octobre doivent donc être examinés à la recherche des traces décrites par Huntress, et reconstruits s'ils ont été compromis.