AhsayCBS : deux failles non corrigées exploitées, même en version 10.3.4

Le 9 octobre 2026, Bleeping Computer a signalé l’exploitation active de deux vulnérabilités d’AhsayCBS, une plateforme de gestion de sauvegardes. Les attaques auraient été observées le 7 octobre par Huntress, une société de détection et de réponse managées, et auraient visé au moins cinq organisations. À ce stade, ces informations reposent sur une seule source, qui rapporte elle-même les constats de Huntress : elles sont donc présentées au conditionnel. Bleeping Computer indique avoir interrogé l’éditeur sur ses projets de correctif, sans réponse au moment de la publication.

Deux failles enchaînées, et une mise à jour qui ne protège pas

La première, CVE-2026-105133, est un contournement d’authentification pour lequel un exploit public existe. La seconde, CVE-2026-105134, permet d’injecter des commandes du système d’exploitation. Selon Huntress, l’attaquant les enchaîne : la première ouvre l’accès sans identifiants, la seconde lui permet d’exécuter du code sur le serveur.

Le point le plus préoccupant concerne les versions. Les deux failles étaient présentées comme corrigées dans AhsayCBS 10.3.2. Dans une mise à jour publiée le 9 octobre, Huntress indique pourtant que la version 10.3.4, la plus récente à cette date, est elle aussi vulnérable. Un serveur à jour ne serait donc pas protégé, et la mise à jour ne peut pas tenir lieu de mesure de protection.

Ce que fait l’attaquant une fois entré

D’après les observations de Huntress, l’intrusion suit une séquence identifiable. L’attaquant commence par une phase de reconnaissance. Il dépose ensuite des webshells au format JSP (Java Server Pages), qui lui laissent un accès à distance au serveur. Il télécharge enfin le mineur XMRig, déguisé sous le nom edge.exe.

La persistance passe par un service nommé MicrosoftEdgeUpdateSvc, qui lance un exécutable msedge.exe. Huntress l’identifie comme une copie modifiée de NSSM (Non-Sucking Service Manager), un utilitaire légitime de gestion de services. Un script PowerShell, Taskgmr.ps1, que Huntress pense rédigé avec l’aide d’une IA, masque l’activité de minage : il arrête le service quand le gestionnaire des tâches s’ouvre et le relance quand celui-ci se ferme. Il ferme aussi le gestionnaire des tâches à 18 h, heure locale, ou s’il reste ouvert plus d’une heure pendant la nuit. Dans un cas, l’attaquant a également installé le pilote vulnérable WinRing0x64.sys, sans doute pour donner au mineur un accès plus large au matériel.

Pourquoi un serveur de sauvegarde compromis est un problème sérieux

AhsayCBS est surtout utilisé par des prestataires de services managés et des intégrateurs. Un serveur de ce type n’héberge donc pas seulement les données de son exploitant : il centralise souvent les sauvegardes de ses clients. Le minage est l’usage observé à ce jour, mais un webshell donne un accès qui n’est pas limité à cet usage. Huntress estime d’ailleurs que l’attaquant a pu installer d’autres portes dérobées pour se maintenir durablement sur les machines.

Les mesures à prendre en attendant le correctif

Tant qu’aucun correctif efficace n’est disponible, Huntress recommande de :

• restreindre l’accès à l’interface d’administration d’AhsayCBS aux seules adresses IP de confiance ;
• rechercher des traces de compromission, à l’aide des indicateurs de compromission et des quatre règles Sigma publiés par Huntress ;
• vérifier les éléments décrits plus haut : un service MicrosoftEdgeUpdateSvc, des fichiers edge.exe, msedge.exe ou Taskgmr.ps1 à des emplacements inhabituels, le pilote WinRing0x64.sys, des fichiers JSP inconnus ;
• si une compromission est confirmée, restaurer entièrement le serveur à partir d’une sauvegarde saine. Supprimer le mineur ne suffit pas, puisque d’autres portes dérobées ont pu être installées.

Pour une plateforme de sauvegarde, la consigne est simple : en attendant l’éditeur, la meilleure protection est de rendre son interface d’administration inaccessible depuis l’extérieur.