Veille menaces / Faille
AhsayCBS : deux failles enchaînées servent à poser webshells, mineurs de cryptomonnaie et porte dérobée sur des serveurs de sauvegarde
Huntress indique que des attaquants ont enchaîné un contournement d'authentification (CVE-2026-105133) et une faille d'exécution de code à distance sans authentification (CVE-2026-105134) dans le serveur de sauvegarde AhsayCBS pour lancer des commandes en tant que SYSTEM. Sur des serveurs compromis entre le 8 et le 11 octobre 2026, avant les correctifs d'Ahsay, l'entreprise a trouvé cinq familles de webshells, deux mineurs de cryptomonnaie, des outils de tunnel et d'accès à distance, et une porte dérobée en Python reliée à un serveur de commande. Les correctifs d'Ahsay sont les versions 10.3.4.45 (v10) et 9.15.2.70 (v7 à v9).
- Secteur
- Tous secteurs
- Point d'entrée
- Faille logicielle
- Produit ou fournisseur
- AhsayCBS, Ahsay Backup
- Comment c'est arrivé
- Huntress indique que les attaquants ont enchaîné CVE-2026-105133, un contournement d'authentification, et CVE-2026-105134, une exécution de code à distance sans authentification en tant que SYSTEM via /rps/api/json/UpdateReceivers.do sur des serveurs AhsayCBS.[1][2] Vérifié le 11 nov. 2026
- Ce qui a été volé
- Pas encore public Vérifié le 11 nov. 2026
- Qui est touché
- Des organisations exploitant des serveurs AhsayCBS examinés par Huntress, compromis entre le 8 et le 11 octobre 2026, avant les correctifs. Huntress ne donne pas de nombre de serveurs touchés.[1] Vérifié le 11 nov. 2026
- Acteur
- Non attribué
- CVE
- CVE-2026-105133, CVE-2026-105134
Chronologie
- Huntress signale pour la première fois l'exploitation des failles d'AhsayCBS. [1]
- Fin de la période, ouverte le 8 octobre, pendant laquelle les serveurs examinés ensuite par Huntress ont été compromis, avant les correctifs d'Ahsay. [1]
- Huntress publie son analyse complémentaire : cinq familles de webshells JSP, un mineur XMRig déguisé en Microsoft Edge et un second mineur relancé chaque minute par une tâche planifiée SYSTEM, des exclusions Microsoft Defender, des tunnels GOST et Chisel, AnyDesk, Atera et Splashtop, et une porte dérobée en Python qui exécute une DLL en mémoire. L'entreprise a aussi vu une requête compatible avec un module de vol d'identifiants Veeam et estime que l'incident relève d'une intrusion « bien plus vaste et plus patiente » qu'un simple dépôt de mineur. Elle indique que le correctif 10.3.4.45 bloque le point d'entrée. [1][2]