AhsayCBS publie des correctifs urgents pour des failles d'authentification activement exploitées

L'éditeur singapourien Ahsay Backup a publié des mises à jour de sécurité d'urgence pour son logiciel de sauvegarde AhsayCBS, suite à la découverte que les correctifs précédents ne résolaient pas entièrement deux vulnérabilités critiques. Ces failles, identifiées sous les références CVE-2026-105133 et CVE-2026-105134, sont activement exploitées par des acteurs malveillants pour obtenir un accès non autorisé aux systèmes. Cette évolution intervient après que les premières corrections publiées en août 2026 se sont révélées incomplètes, laissant de nombreux environnements auto-hébergés exposés à des attaques par exécution de code à distance.

Ce qui s'est passé

Les problèmes de sécurité impliquent une chaîne de deux vulnérabilités permettant aux attaquants de contourner entièrement les mécanismes d'authentification. Combinées, ces failles permettent l'exécution de code à distance sans authentification, offrant aux adversaires un contrôle total sur le serveur affecté. La société de cybersécurité Huntress a rapporté plus tôt ce mois-ci qu'elle avait observé des acteurs malveillants exploitant cette chaîne d'attaque spécifique pour déployer des web shells et des mineurs de cryptomonnaie XMRig sur des systèmes compromis. Les web shells offrent un accès backdoor persistant, tandis que les logiciels malveillants de cryptojacking détournent les ressources du serveur pour miner des devises numériques, entraînant souvent une dégradation des performances et une augmentation des coûts opérationnels.

Bien qu'Ahsay ait précédemment publié les versions 9.15.2.59 et 10.3.4.0 en août 2026 avec l'intention de corriger ces problèmes, l'entreprise a désormais confirmé que ces mises à jour ne colmataient pas complètement les brèches de sécurité. Par conséquent, de nouveaux correctifs ont été émis : AhsayCBS v10.3.4.45 et AhsayCBS v9.15.2.70. Huntress a vérifié indépendamment que le nouveau correctif v10.3.4.45 atténue avec succès le point d'entrée initial de la chaîne d'attaque, qui restait vulnérable dans les versions précédentes corrigées. Ahsay exhorte fortement les utilisateurs à appliquer ces correctifs immédiatement et à redémarrer leurs serveurs pour s'assurer que les modifications prennent effet.

Détails clés

• Vulnérabilités : CVE-2026-105133 et CVE-2026-105134 permettent le contournement de l'authentification et l'exécution arbitraire de commandes.
• Exploitation active : Des acteurs malveillants utilisent ces failles pour déployer des web shells et des mineurs de cryptomonnaie XMRig.
• Corrections antérieures incomplètes : Les patchs publiés en août 2026 (versions 9.15.2.59 et 10.3.4.0) n'ont pas résolu complètement les problèmes.
• Nouveaux correctifs : Les utilisateurs doivent passer à AhsayCBS v10.3.4.45 ou v9.15.2.70 pour combler les vulnérabilités.
• Redémarrage obligatoire : Ahsay indique que les serveurs doivent être redémarrés après l'application du correctif pour que les mesures de sécurité soient effectives.
• Action réglementaire : La CISA a ajouté ces failles à son catalogue des vulnérabilités connues et exploitées, fixant une échéance au 17 octobre 2026 pour les agences fédérales.

Contexte

L'exécution de code à distance (RCE) est l'un des types de vulnérabilités de sécurité les plus graves car elle permet à un attaquant d'exécuter n'importe quelle commande sur un système cible sans avoir besoin d'identifiants valides. Dans ce cas, les attaquants chaînent deux failles distinctes pour contourner le processus de connexion normal. Une fois à l'intérieur, ils installent des web shells, qui sont des scripts malveillants fournissant une interface persistante pour contrôler le serveur à distance. Cette persistance leur permet de revenir plus tard même si la vulnérabilité initiale est corrigée, sauf si le web shell lui-même est découvert et supprimé.

Les logiciels malveillants de minage de cryptomonnaies, tels que XMRig, sont une charge utile courante dans ce type d'attaques car ils monétisent immédiatement la compromission en utilisant la puissance de calcul de la victime. Pour les équipes informatiques gérant des infrastructures auto-hébergées, cela se traduit par des pics inattendus d'utilisation du CPU et des coûts d'électricité accrus. L'implication de l'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) souligne la gravité de la menace, car l'inclusion dans le catalogue des vulnérabilités connues et exploitées (KEV) signale que l'exploitation active est répandue et dangereuse.

Pourquoi c'est important

Pour les équipes gérant leur propre infrastructure de sauvegarde, cet incident souligne le risque de compter sur des solutions mono-fournisseur sans vérification indépendante rigoureuse des correctifs de sécurité. Le fait que les mises à jour d'août aient été jugées suffisantes par de nombreux utilisateurs, avant d'être révélées comme incomplètes quelques semaines plus tard, crée un faux sentiment de sécurité. L'auto-hébergement exige un haut degré de vigilance car vous êtes responsable de toute la pile technologique, y compris la mise à jour rapide des correctifs et la vérification que les mises à jour résolvent réellement les problèmes signalés. Retarder l'action en supposant qu'un patch précédent a fonctionné pourrait laisser vos données exposées à l'exfiltration ou au chiffrement par des opérateurs de ransomware qui utilisent souvent des méthodes d'accès initial similaires.

De plus, l'exigence de redémarrer les serveurs après l'application du correctif introduit une complexité opérationnelle. Dans de nombreux environnements de production, planifier des temps d'arrêt pour les redémarrages nécessite une planification minutieuse pour éviter les interruptions de service. Cependant, étant donné que la CISA a fixé une date limite stricte pour les agences fédérales et que l'exploitation active se poursuit, le risque de retarder le redémarrage l'emporte sur l'inconvénient. Les équipes doivent équilibrer disponibilité et sécurité, en reconnaissant qu'un serveur de sauvegarde non corrigé ou incorrectement corrigé constitue une responsabilité critique.

Que pouvez-vous faire

• Vérifiez votre version : Identifiez immédiatement si votre environnement exécute des versions d'AhsayCBS antérieures à 9.15.2.70 ou 10.3.4.45.
• Appliquez le correctif : Téléchargez et installez les versions spécifiques des correctifs (v9.15.2.70 ou v10.3.4.45) depuis le portail officiel d'Ahsay.
• Redémarrez les serveurs : Planifiez et exécutez un redémarrage du serveur immédiatement après la mise à jour pour garantir que l'atténuation est active.
• Recherchez les indicateurs : Utilisez des outils de détection sur les points de terminaison pour rechercher des signes de web shells ou de processus XMRig, tels que des pics CPU inhabituels ou des scripts inconnus dans les répertoires web.
• Examinez les journaux d'accès : Analysez les journaux d'authentification et d'accès pour détecter toute activité suspecte remontant à août 2026, lorsque les premiers patchs incomplets ont été publiés.
• Surveillez le catalogue KEV de la CISA : Suivez le catalogue des vulnérabilités connues et exploitées pour connaître les futures échéances obligatoires de correction et les menaces actives.