Des attaquants enchaînent deux failles non corrigées d’AhsayCBS pour déposer webshells et mineurs
La plateforme de sauvegarde AhsayCBS reste exploitable via un contournement d’authentification et une injection de commandes, y compris dans sa dernière version 10.3.4. Restreignez l’interface d’administration aux IP de confiance et traitez toute anomalie comme une compromission jusqu’à preuve du contraire.
7 octobre 2026. La société de détection et de réponse managée Huntress observe des attaquants exploiter deux vulnérabilités non corrigées de la plateforme de sauvegarde AhsayCBS, chez au moins cinq organisations. 9 octobre 2026. Huntress précise que la version 10.3.4, pourtant la plus récente, reste affectée — alors que l’éditeur considérait les failles corrigées depuis la 10.3.2. 9 octobre 2026. BleepingComputer relaie l’alerte sans avoir obtenu de réponse d’Ahsay au moment de la publication. Pourquoi c’est important : AhsayCBS est une brique de sauvegarde que les managed service providers exploitent pour leurs clients — une faille ouverte ici se propage à tout un portefeuille d’entreprises.
Deux failles, et un correctif qui n’en est pas un
Les deux failles exploitées sont documentées. CVE-2026-105133 est un contournement d’authentification pour lequel un exploit public circule déjà. CVE-2026-105134 permet une injection de commandes système. Chacune est grave à elle seule ; combinées, elles forment une chaîne complète — passer l’authentification, puis exécuter du code.
Le point qui rend l’affaire anormale est le statut du correctif. Les deux vulnérabilités sont annoncées comme corrigées dans AhsayCBS 10.3.2. Mais Huntress a vérifié par elle-même : la 10.3.4, dernière version disponible à ce jour, reste vulnérable. Autrement dit, un administrateur qui applique la dernière mise à jour en pensant être protégé ne l’est pas. C’est la configuration la plus dangereuse qui soit — un faux sentiment de sécurité installé par l’éditeur.
Ce décalage entre l’annonce de correctif et la réalité du terrain n’est pas un détail technique. Sur une plateforme de sauvegarde, l’interface d’administration concentre les fonctions les plus sensibles : restauration, planification, accès aux dépôts. La laisser accessible à un attaquant non authentifié, c’est lui tendre les clés du dispositif de reprise après sinistre.
La chaîne d’attaque observée sur le terrain
Les analystes de Huntress ont reconstitué l’enchaînement complet. L’attaquant utilise d’abord CVE-2026-105133 pour contourner l’authentification, puis CVE-2026-105134 pour exécuter du code. Une fois à l’intérieur, il procède par étapes mesurées.
Il commence par de la reconnaissance sur l’hôte compromis. Il dépose ensuite des webshells JSP (Java Server Pages) pour conserver un accès persistant et distant. Enfin, il télécharge le mineur de cryptomonnaie XMRig, déguisé en edge.exe — le nom du navigateur Microsoft Edge — pour fondre dans le bruit d’un serveur Windows légitime.
Le ciblage n’est pas aléatoire. AhsayCBS étant l’outil que les MSP utilisent pour sauvegarder les machines de leurs clients, une compromission réussie donne à l’attaquant un point d’appui sur plusieurs organisations à la fois. Cinq victimes confirmées à ce stade, c’est un plancher : le périmètre réel dépend du nombre d’instances exposées sur Internet, que Huntress n’a pas chiffré publiquement.
Une persistance conçue pour passer sous les radars
La partie la plus instructive de l’incident n’est pas l’exploitation, mais la persistance. Le mineur s’installe comme un service nommé MicrosoftEdgeUpdateSvc, qui exécute msedge.exe — en réalité une copie modifiée de l’utilitaire légitime NSSM (Non-Sucking Service Manager). Le nom du service imite celui du programme de mise à jour d’Edge : un administrateur qui inspecte la liste des services n’y verra rien d’anormal.
La furtivité va plus loin. Un script PowerShell nommé Taskgmr.ps1, que Huntress soupçonne d’avoir été généré avec l’aide d’une IA, orchestre le camouflage. Quand l’observateur d’événements ou le Gestionnaire des tâches s’ouvre, le script stoppe le service de minage ; quand la fenêtre se referme, il le relance. Il va jusqu’à fermer le Gestionnaire des tâches à 18 h heure locale, ou s’il reste ouvert plus d’une heure en pleine nuit.
Dans au moins un cas, l’attaquant a aussi déployé le pilote vulnérable WinRing0x64.sys, vraisemblablement pour déverrouiller des ressources matérielles supplémentaires au profit du mineur. Ce pilote, connu pour être exploitable en élévation de privilèges, aggrave la compromission en ouvrant une porte supplémentaire sur le noyau.
La sauvegarde, l’organe que les attaquants visent en priorité
Pourquoi cibler une plateforme de sauvegarde plutôt qu’un serveur métier ? Parce que la sauvegarde est l’organe de résilience. Un attaquant qui compromet l’outil de backup ne gagne pas seulement des données — il gagne la capacité de frapper au moment où sa victime aura le plus besoin de se relever.
Le scénario classique du ransomware l’illustre. Avant de chiffrer les fichiers d’une entreprise, les groupes les plus méthodiques s’attaquent d’abord aux sauvegardes : ils les suppriment, les chiffrent ou les rendent inutilisables. Sans sauvegarde saine, la victime n’a plus que deux options — payer la rançon ou perdre les données. Une plateforme comme AhsayCBS, qui centralise les sauvegardes de plusieurs organisations à la fois, est donc une cible deux fois plus rentable : elle donne accès à la fois aux données et au levier de négociation.
Pour un MSP, le calcul est encore plus défavorable. Le MSP exploite AhsayCBS pour ses propres clients. Une compromission de l’instance signifie que l’attaquant atteint, à travers un seul point d’entrée, le périmètre de chaque client sauvegardé. C’est la définition d’une attaque de supply chain par le biais de l’outillage de confiance.
Il y a enfin une raison technique simple à la fréquence de ces incidents : les interfaces d’administration de sauvegarde sont historiquement exposées, souvent par commodité — un accès distant pour le support, une console web ouverte sur Internet. C’est précisément ce que Huntress recommande de corriger en premier, avant même de chercher des indicateurs de compromission.
Ce que les MSP doivent faire maintenant
En l’absence de correctif réel, la réponse relève du confinement, pas du patch. Huntress livre des consignes claires, à exécuter sans attendre la réaction d’Ahsay.
- Restreindre l’interface d’administration. Limitez l’accès à la console AhsayCBS aux seules adresses IP de confiance — idéalement via un VPN ou une liste blanche réseau. C’est la mesure qui réduit le plus immédiatement la surface d’attaque.
- Chercher les signes de compromission. Huntress a publié des indicateurs de compromission (IoC) ainsi que quatre règles Sigma pour détecter l’activité. Déployez-les sur vos postes de supervision.
- Ne pas se fier au numéro de version. La 10.3.4 est vulnérable au même titre que les versions antérieures. Tant qu’un correctif vérifié n’est pas publié, aucune mise à jour ne constitue une protection.
- Préparer la restauration complète. Si une compromission est confirmée, Huntress recommande une restauration intégrale de l’hôte depuis une sauvegarde saine, car l’attaquant a pu installer des portes dérobées supplémentaires.
Le réflexe à bannir est celui de « nettoyer » le mineur et de repartir comme si de rien n’était. Un mineur est rarement la fin de l’histoire — c’est souvent le premier symptôme visible d’une intrusion plus ancienne et plus profonde.
Verdict
Si vous exploitez AhsayCBS — en direct ou pour des clients en tant que MSP — traitez l’incident comme une compromission possible dès aujourd’hui : coupez l’exposition de la console, déployez les IoC et les règles Sigma, et préparez un plan de restauration. Si vous devez choisir entre attendre le patch et isoler la machine, isolez : une plateforme de sauvegarde compromise est exactement ce qu’un attaquant utilise pour détruire votre capacité de reprise. Si vous êtes client d’un MSP qui utilise AhsayCBS, demandez-lui la preuve que votre instance est hors de portée — le silence de l’éditeur ne doit pas devenir le vôtre.