Les vulnérabilités d’AhsayCBS exigent une action immédiate de la part des administrateurs de sauvegarde et des fournisseurs de services gérés. AhsayCBS 10.3.4.0 reste exposé ; Ahsay a demandé aux partenaires utilisant la version 10, le 10 octobre 2026, d’installer le correctif 10.3.4.45 et de redémarrer. Restreignez dès maintenant l’interface d’administration, recherchez les webshells et les mineurs dissimulés, puis reconstruisez un serveur à partir de sauvegardes fiables si une compromission est détectée.
Quelles sont les vulnérabilités d’AhsayCBS ?
Les vulnérabilités d’AhsayCBS sont deux failles de sécurité que les attaquants enchaînent pour contourner l’authentification et exécuter des commandes du système d’exploitation avec les privilèges SYSTEM. CVE-2026-105133 a obtenu un score CVSS v4 de 5,5 en 2026, tandis que CVE-2026-105134 a obtenu un score CVSS v4 de 9,3 en 2026 et affecte le composant Replication Receiver.
CVE-2026-105133 est une vulnérabilité d’authentification incorrecte qui fournit le point d’entrée initial. CVE-2026-105134 est une vulnérabilité d’injection de commandes du système d’exploitation qui transforme cet accès en exécution de code à distance avec les privilèges du processus AhsayCBS.
L’exploitation active a été observée pour la première fois dans la télémétrie de Huntress à 23:20:15 UTC le 7 octobre 2026, selon le compte rendu de l’enquête publié par BleepingComputer. Le calendrier est important : l’exploitation est apparue trois jours après la publication des deux CVE, le 4 octobre 2026.
Les scores de gravité, à eux seuls, sous-estiment le risque opérationnel. Une faille d’authentification classée comme moyenne devient bien plus dangereuse lorsqu’elle ouvre de manière fiable la voie à une faille critique d’injection de commandes. Les infrastructures de sauvegarde disposent également d’accès privilégiés, de données professionnelles et de capacités de récupération, ce qui rend un serveur compromis plus lourd de conséquences qu’une infection ordinaire destinée au minage de cryptomonnaies.
AhsayCBS 10.3.4 est-il à l’abri des attaques actives ?
AhsayCBS 10.3.4 et 10.3.4.0 ne constituent pas une protection suffisante contre la chaîne d’attaque active de 2026. Huntress a confirmé le 8 octobre 2026 que la version standard restait vulnérable, et Ahsay a reconnu le 10 octobre 2026 que la version 10.3.4.0 n’avait pas entièrement corrigé l’une ou l’autre vulnérabilité.
AhsayCBS v10.3.4.0 avait été publiée le 4 août 2026 et présentée initialement comme corrigeant les failles. Les premières recommandations de remédiation consignées par la National Vulnerability Database et VulDB demandaient donc aux administrateurs d’effectuer une mise à niveau, mais les tests de Huntress ont montré que ces recommandations ne suffisaient pas à supprimer l’exposition.
L’instruction effective du fournisseur pour la version 10 consiste à installer le correctif 10.3.4.45 et à redémarrer. Les versions 7 à 9 d’AhsayCBS nécessitent le correctif 9.15.2.70, selon l’annonce d’Ahsay du 12 octobre 2026.
| Installation | Action requise | État vérifié en 2026 |
|---|---|---|
| Version 10.3.4 ou 10.3.4.0 | Installer le correctif 10.3.4.45 et redémarrer | La version standard restait vulnérable le 8 octobre ; l’atténuation du point d’entrée par le correctif a été vérifiée le 12 octobre |
| Versions 7 à 9 | Installer le correctif 9.15.2.70 | Instruction d’Ahsay du 12 octobre |
Il existe un cas particulier important. Huntress a indiqué que le correctif 10.3.4.45 bloquait le point d’entrée permettant le contournement de l’authentification, mais la formulation du 12 octobre 2026 ne prétendait pas que CVE-2026-105134 elle-même avait été supprimée. À mon avis, exposer largement Replication Receiver ou l’interface d’administration après l’application du correctif constitue un pari évitable ; les restrictions réseau restent un élément de la solution.
Que doivent faire immédiatement les administrateurs d’AhsayCBS ?
Les administrateurs d’AhsayCBS doivent installer le correctif logiciel 2026 approprié, redémarrer le serveur, restreindre l’accès à la gestion à des adresses IP de confiance ou à un VPN, et rechercher toute compromission de l’hôte. L’installation du correctif logiciel 10.3.4.45 bloque le point d’entrée observé de la version 10, mais l’application d’un correctif ne peut pas supprimer les webshells, services ou mécanismes de persistance secondaires déjà implantés par les attaquants.
Suivez l’ordre d’intervention ci-dessous afin de réduire l’exposition sans détruire les éléments nécessaires à l’enquête :
- Limitez l’interface d’administration et Replication Receiver d’AhsayCBS aux réseaux d’administration approuvés, aux adresses IP fiables ou à un VPN. Si les opérations le permettent, supprimez l’exposition directe à Internet pendant l’enquête.
- Conservez les journaux pertinents et capturez les éléments volatils conformément à votre procédure de réponse aux incidents avant de redémarrer ou de supprimer des fichiers. Consignez la version d’AhsayCBS installée, le niveau de correctif, les services en écoute, les processus en cours, la configuration des services et les processus enfants récents.
- Installez le correctif 10.3.4.45 sur la version 10 ou le correctif 9.15.2.70 sur les versions 7 à 9, conformément aux instructions d’Ahsay d’octobre 2026. Redémarrez lorsque le fournisseur l’exige.
- Recherchez les indicateurs publiés, les webshells JSP, les processus enfants AhsayCBS suspects, les Microsoft Edge binaires falsifiés, les services inattendus, l’activité du pilote WinRing0 et le trafic sortant lié au minage.
- Après le confinement, faites tourner les identifiants et secrets accessibles depuis le serveur affecté. Incluez les comptes de service, les identifiants administrateur, les identifiants des référentiels, les clés API et tous les identifiants utilisés pour accéder au stockage de sauvegarde protégé.
- Réinstallez un hôte compromis à partir d’un support fiable et restaurez des données connues comme saines. Validez l’intégrité des sauvegardes et testez la récupération avant de remettre le serveur en production.
Huntress a recommandé une réinstallation complète lorsque des indicateurs sont détectés, car un intrus peut avoir ajouté des mécanismes de persistance allant au-delà des artefacts documentés publiquement. Supprimer XMRig seul ne constitue pas une réponse à incident. La même distinction entre application du correctif et recherche de compromission s’applique à d’autres systèmes d’entreprise exploités, notamment aux recommandations concernant la vulnérabilité de JFrog Artifactory et les éventuelles portes dérobées.
Examinez également le calendrier sous un angle numérique. Les failles ont été rendues publiques le 4 octobre 2026, l’exploitation est apparue le 7 octobre et le correctif de la version 10 corrigée est arrivé le 10 octobre. Cela représente un délai de six jours entre la divulgation et le correctif, ainsi qu’une période de trois jours d’attaques observées avant la publication du correctif, sans compter les compromissions qui auraient échappé à la télémétrie.
Comment détecter un serveur AhsayCBS exploité ?
Un serveur AhsayCBS exploité peut contenir des webshells JSP, XMRig déguisé en edge.exe, un utilitaire NSSM renommé en msedge.exe, ainsi qu’un service de niveau SYSTEM nommé MicrosoftEdgeUpdateSvc. Huntress a également observé Taskgmr.ps1 arrêter le minage lorsque le Gestionnaire des tâches Windows était ouvert, puis le redémarrer après sa fermeture.
Ces noms servent de camouflage ; ils ne prouvent pas que Microsoft Edge est compromis. Comparez les chemins des fichiers, les signatures, les hachages, les processus parents, les dates de création et les lignes de commande des services au lieu de supprimer tous les fichiers portant un nom similaire. Les attaquants tirent avantage du fait que les intervenants prennent un nom de fichier familier pour un composant légitime.
Huntress a signalé le 8 octobre 2026 que les charges utiles provenaient de imagefiles-backup.oss-ap-southeast-7.aliyuncs[.]com et que le trafic de minage XMR atteignait xmr.kryptex[.]network:8029. Considérez chacune de ces connexions comme une piste prioritaire, puis vérifiez la télémétrie DNS, proxy, pare-feu et terminaux sur la même période.
L’entreprise a également publié trois hachages de charges utiles et quatre détections Sigma en 2026. Les règles couvrent les processus enfants AhsayCBS inattendus, les faux binaires Edge, le contrôle des services conscient de l’ouverture du Gestionnaire des tâches et les téléchargements du pilote WinRing0. Utilisez les valeurs complètes issues de l’ enquête de Huntress ou de son référentiel public de renseignement sur les menaces plutôt que de se fier à des hachages abrégés.
L’absence de ces indicateurs ne prouve pas qu’un serveur est sain. Les hachages publiés détectent les charges utiles connues, tandis qu’un webshell peut être renommé ou remplacé. Recherchez les liens de parenté entre les processus, les services nouvellement créés, les connexions sortantes anormales, les fichiers JSP modifiés et l’activité d’authentification autour du premier événement suspect.
Quelle est la gravité de l’exploitation observée ?
Les vulnérabilités observées dans AhsayCBS ont touché au moins cinq organisations identifiées par Huntress au 8 octobre 2026, The Hacker News ayant ensuite signalé un incident supplémentaire observé par Huntress. Les informations publiques ne faisaient alors état d’aucune preuve d’une exploitation généralisée, mais l’attaque a établi une persistance au niveau SYSTEM et un accès à distance aux serveurs de sauvegarde.
Le nombre limité de cas doit être remis en contexte. Les cinq incidents, plus un, correspondent à six cas observés, et non à six victimes au total dans le monde ; Huntress ne pouvait voir que les environnements couverts par sa télémétrie. Il serait erroné de qualifier la campagne d’exploitation massive, tout comme il serait erroné de considérer ce petit échantillon comme rassurant.
Crypto-monnaie Le minage constituait la source de monétisation visible. Les webshells JSP sont la découverte la plus grave, car ils peuvent maintenir un accès à distance après la suppression du mineur. Un opérateur de sauvegarde doit donc partir du principe que la confidentialité, l’intégrité et la capacité de récupération peuvent toutes être affectées, jusqu’à ce qu’un examen forensique établisse le contraire.
La priorisation doit tenir compte de l’exposition et des privilèges, et pas uniquement du score CVSS. Les systèmes AhsayCBS exposés sur Internet nécessitent une attention immédiate, suivis des installations exposées en interne et accessibles depuis des réseaux moins fiables. Les équipes qui gèrent plusieurs urgences peuvent appliquer la même logique donnant la priorité aux vulnérabilités exploitées, décrite dans les recommandations sur la priorisation d’une charge de travail importante du Patch Tuesday.
FAQ sur les vulnérabilités d’AhsayCBS
L’installation du correctif 10.3.4.45 nettoie-t-elle un serveur infecté?
Non. Le correctif AhsayCBS 10.3.4.45 atténue le point d’entrée permettant de contourner l’authentification, mais il ne supprime pas les webshells, mineurs, services malveillants ni mécanismes de persistance inconnus déjà présents. Huntress a recommandé de réinstaller les hôtes compromis à partir de sauvegardes fiables en 2026.
Quel correctif AhsayCBS s’applique aux versions 7 à 9?
Les versions 7 à 9 d’AhsayCBS doivent recevoir le correctif 9.15.2.70, selon les recommandations d’Ahsay du 12 octobre 2026. Les administrateurs doivent suivre les instructions d’installation du fournisseur et vérifier le niveau de correctif obtenu.
Microsoft Edge est-il à l’origine de l’attaque contre AhsayCBS ?
Non. Les attaquants ont renommé XMRig en edge.exe et un utilitaire NSSM modifié en msedge.exe en 2026 afin de les faire passer pour des composants de Microsoft Edge. Ces noms de fichiers étaient des déguisements utilisés sur des serveurs AhsayCBS compromis.
Un serveur AhsayCBS doit-il rester exposé après l’application du correctif ?
L’accès d’administration à un serveur AhsayCBS devrait être limité aux adresses IP de confiance ou à un VPN, même après l’installation du correctif d’octobre 2026. Huntress a vérifié que le correctif 10.3.4.45 bloque le point d’entrée observé permettant de contourner l’authentification, et non que toutes les voies possibles menant à la CVE-2026-105134 avaient été supprimées.