Un correctif de sécurité destiné aux serveurs de sauvegarde AhsayCBS n’a pas permis de résoudre complètement deux vulnérabilités activement exploitées, poussant l’éditeur à publier un correctif d’urgence.
Ahsay Systems a confirmé le 10 octobre 2026 que la version 10.3.4.0 n’avait pas correctement corrigé les vulnérabilités CVE-2026-105133 et CVE-2026-105134. L’entreprise a demandé aux partenaires concernés utilisant la version 10 d’installer le correctif d’urgence 10.3.4.45 et de redémarrer leurs serveurs.
Pourquoi l’échec du correctif AhsayCBS est important
La mise à jour défaillante concerne les fournisseurs de services managés (MSP), les intégrateurs de systèmes et les organisations qui utilisent AhsayCBS pour gérer leurs opérations de sauvegarde. Des serveurs de gestion compromis peuvent exposer des configurations sensibles ou permettre l’accès à d’autres systèmes, selon leurs privilèges et leur connectivité réseau. Des risques similaires sont apparus avec les vulnérabilités des systèmes de gestion des pare-feu Cisco.
Dans son avis de sécurité du 10 octobre, Ahsay a reconnu que le précédent correctif était insuffisant. La société de cybersécurité Huntress avait déjà identifié le problème et signalé des attaques visant cinq organisations au 8 octobre.
Ce chiffre correspond aux organisations ciblées, et pas nécessairement à cinq compromissions confirmées. Toutefois, l’activité observée confirme que les attaquants exploitaient les vulnérabilités dans des environnements réels.
Comment les attaquants exploitent les vulnérabilités d’AhsayCBS
Les vulnérabilités ont été divulguées le 4 octobre 2026. Les premières fiches de la National Vulnerability Database indiquaient que la version 10.3.4 n’était pas affectée, mais des recherches ultérieures ont contredit cette évaluation.
La CVE-2026-105133 correspond à une faille d’authentification incorrecte dans lacheckSysPwd fonction d’API, à laquelle VulDB a attribué un score CVSS de 5,5 sur 4,0. La CVE-2026-105134 est une vulnérabilité d’injection de commandes du système d’exploitation dans le composant Replication Receiver, notée 9,3.
Selon l’analyse technique de Huntress, les attaquants ont enchaîné les vulnérabilités pour contourner l’authentification et exécuter des commandes à distance avecNT AUTHORITY\SYSTEM des privilèges. Les chercheurs ont observé les premières exploitations le 7 octobre à 23 h 20 UTC.
Les attaquants ont déployé des webshells Java Server Pages (JSP) et des mineurs de cryptomonnaie XMRig déguisés en exécutables Microsoft Edge. Ils ont également assuré leur persistance grâce à un service Windows frauduleuxMicrosoftEdgeUpdateSvc, et utilisé un script PowerShellTaskgmr.ps1, afin de dissimuler l’activité de minage lors de l’ouverture du Gestionnaire des tâches.
Comment les organisations peuvent réduire les risques
Le correctif d’urgence de Ahsay, version 10.3.4.45, est disponible sur son portail partenaires authentifié. Ahsay a publié ce correctif, mais les sources consultées ne fournissaient pas de tests indépendants confirmant qu’il corrigeait complètement les deux vulnérabilités.
L’application d’un correctif ne permet pas de supprimer les mécanismes de persistance malveillants des systèmes déjà compromis. Les administrateurs doivent rechercher toute exposition antérieure, comme l’ont montré les attaques impliquant des serveurs Zimbra compromis, et prendre les mesures suivantes :
- Appliquer le correctif d’urgence : Installez la version 10.3.4.45, redémarrez les serveurs concernés et vérifiez la version effectivement exécutée.
- Restreindre et segmenter les accès : Limitez les interfaces de gestion aux adresses IP de confiance ou aux connexions VPN, et isolez l’infrastructure de sauvegarde.
- Auditer la réplication et l’activité réseau : Recherchez les récepteurs non autorisés, les modifications de configuration et les connexions suspectes.
- Rechercher les signes de compromission : Examinez les processus inhabituels lancés par
cbssvcX64.exe, les webshells JSP et les services inconnus. Préservez les éléments de preuve forensiques avant toute remédiation. - Sécuriser les identifiants et les systèmes de récupération : Renouvelez les identifiants potentiellement exposés en cas de suspicion de compromission, vérifiez l’intégrité des sauvegardes et reconstruisez les hôtes dont la compromission est confirmée à partir de sauvegardes fiables.
- Tester les plans de réponse aux incidents : Exercez les procédures de confinement, validez les capacités de restauration et vérifiez que les équipes peuvent éliminer la persistance des attaquants.
Huntress a également publié quatre règles de détection Sigma et des indicateurs de compromission pour faciliter les investigations.
Les enjeux plus larges de la sécurité des sauvegardes
Huntress a documenté le déploiement de webshells et le minage de cryptomonnaies, mais n’a signalé ni déploiement de rançongiciel ni vol confirmé de données de sauvegarde dans les incidents qu’elle a examinés. Néanmoins, la compromission d’une infrastructure de sauvegarde centralisée peut menacer les capacités de récupération d’une organisation.
Le maintien de capacités de récupération fiables nécessite à la fois une infrastructure à jour et des sauvegardes dignes de confiance. Les organisations doivent également déterminer si les attaquants ont conservé leur accès avant l’installation du correctif.
À lire aussi : les alertes fédérales concernant l’exploitation rapide de vulnérabilités récemment divulguées montrent à quelle vitesse les attaquants peuvent cibler des systèmes exposés avant que les organisations n’achèvent la remédiation.