AhsayCBS : failles critiques ouvrent la porte à des intrusions complexes
Les failles CVE-2026-105133 et CVE-2026-105134 dans la console de gestion AhsayCBS ont été exploitées entre le 8 et le 11 octobre 2026. Ces failles ont permis aux acteurs malveillants d’obtenir un accès aux serveurs de sauvegarde d’une organisation ciblée.
Selon l’analyse menée par Huntress, cette intrusion dépassait le cadre d’un simple « smash and grab ». Si les premières observations faisaient état de webshells et d’un mineur XMRig, l’enquête a révélé une opération beaucoup plus patiente. L’opérateur a implanté des shells à plusieurs endroits, exécuté deux types de mineurs et installé un implant personnalisé sur des serveurs dont la fonction première est de conserver des données de sauvegarde.
Les vulnérabilités permettent, en théorie, de contourner l’authentification (CVE-2026-105133) ou d’exécuter du code à distance en tant que SYSTEM sans authentification (CVE-2026-105134). Ces failles ont été ajoutées au catalogue des vulnérabilités activement exploitées par CISA le 14 octobre 2026.
Ce qui est touché : la complexité de l’intrusion
Les chercheurs ont décortiqué cinq familles de webshells, toutes insérées dans les répertoires web d’AhsayCBS. Certains de ces scripts étaient discrets : l’un vérifiait une clé codée en dur pour exécuter des commandes via cmd.exe /c, renvoyant le résultat encodé en Base64 si la clé était valide. D’autres, comme les familles status_ ou st_, permettaient non seulement d’exécuter des commandes, mais aussi de supprimer récursivement des chemins entiers et de s’autodétruire.
Ce qui est plus troublant, c’est la profondeur de l’atteinte. Au-delà des shells, un second mineur XMRig nommé kvm-agent.exe a été trouvé en cours d’exécution via une tâche planifiée SYSTEM, utilisant un portefeuille et un pool différents du premier. L’opérateur a également mis en place un mécanisme de dissimulation sophistiqué : un backdoor Python nommé main.py vérifie le MachineGuid de l’hôte et recherche un fichier marqueur spécifique pour éviter d’être analysé dans un environnement de sandbox.
La gravité réelle : une infiltration profonde
La gravité de l’incident réside dans la profondeur de l’atteinte. L’acteur a non seulement installé des outils de minage, mais il a aussi mis en place des outils de tunneling comme GOST et Chisel pour garantir un accès persistant. On note d’ailleurs que, sur un serveur Veeam voisin dans le même environnement, des commandes suggérant un vol de crédentiels de Veeam via WMI ont été observées. Ce lien entre un point d’ancrage AhsayCBS et une requête de crédentiels Veeam suggère un intérêt ciblé pour l’infrastructure de sauvegarde elle-même.
L’implémentation de ces composants, y compris le loader AhsayCBS.jsp qui dissimule des charges utiles chiffrées dans les données de pixels de fichiers PNG, montre une ingénierie d’attaque très méticuleuse. D’ailleurs, selon Huntress, l’un de ces shells s’était déguisé en service de prévisualisation d’images interne, utilisant des objets implicites JSP pour compiler sur divers conteneurs de servlets.
Que faire maintenant
Ahsay a publié des correctifs, mais les mises à jour initiales n’avaient pas entièrement résolu les problèmes. Les partenaires sont fortement incités à appliquer immédiatement les correctifs AhsayCBS v10.3.4.45 pour la version 10, et AhsayCBS v9.15.2.70 pour les versions 7 à 9, après avoir redémarré le serveur. Cependant, l’alerte persiste : si votre serveur AhsayCBS a été exposé avant l’application de ces patchs, il est impératif de mener une recherche approfondie de traces d’artefacts dans votre environnement, car le simple fait d’appliquer le correctif ne supprime pas les fichiers déjà déposés par l’acteur.
Il faut surveiller de près si d’autres systèmes de gestion de sauvegarde sont exposés à des failles similaires, car le lien entre ces vulnérabilités et la cible des sauvegardes ne doit pas être ignoré.
Fiche technique
| CVE | Produit | Gravité | Exploitée activement | Versions corrigées |
|---|---|---|---|---|
| CVE-2026-105133 | Ahsay AhsayCBS | Moyenne (CVSS 6,9) | Oui (KEV, 14 octobre 2026) | Voir l’avis de l’éditeur |
| CVE-2026-105134 | Ahsay AhsayCBS | Critique (CVSS 10,0) | Oui (KEV, 14 octobre 2026) | Voir l’avis de l’éditeur |
Données : NVD (NIST), catalogue KEV de la CISA (CC0) et GitHub Advisory Database (CC BY 4.0, données adaptées).
Sources
- Inside an AhsayCBS Intrusion: Hidden Webshells, a CryptoMiner, and a C2 Implant | Huntress, huntress.com
- Attackers Exploit AhsayCBS Flaws to Deploy Sandbox-Evading Python Backdoor, The Hacker News, 10 novembre 2026
- Hackers exploit SSHole OpenSSH flaw to breach Linux systems, BleepingComputer, 9 novembre 2026
- IBM Aspera Faspex, SignalWire FreeSwitch Vulnerabilities Exploited in Attacks, SecurityWeek, 10 novembre 2026
- Avis de sécurité (ahsay.com), ahsay.com, 4 octobre 2026
- GHSA-fp2j-3cmp-828j : A vulnerability was detected in Ahsay AhsayCBS up to 10.3.2. This affects the function…, GitHub Advisory Database (CC BY 4.0)
- CVE-2026-105133, NVD (NIST)
- CVE-2026-105133 dans le catalogue KEV, CISA
- GHSA-mxj3-2x8q-2rh9 : A flaw has been found in Ahsay AhsayCBS up to 10.3.2. This vulnerability affects unknown…, GitHub Advisory Database (CC BY 4.0)
- CVE-2026-105134, NVD (NIST)
- CVE-2026-105134 dans le catalogue KEV, CISA
