AhsayCBS, din nou patch-uit: vulnerabilitățile exploatate au rezistat corecțiilor din august

Dacă folosiți servere de backup AhsayCBS și ați aplicat patch-ul din august, este posibil să fiți în continuare expuși. Ahsay Backup a lansat noi hotfix-uri pentru două vulnerabilități exploatate activ, CVE-2026-105133 și CVE-2026-105134, după ce a confirmat că patch-urile anterioare nu le-au închis complet.

Ce s-a întâmplat

• Cele două vulnerabilități pot fi înlănțuite pentru a ocoli autentificarea și a executa comenzi arbitrare pe un server AhsayCBS.
• Huntress a raportat la începutul lunii că atacatorii le combinau pentru a obține execuție de cod la distanță fără autentificare pe servere expuse la internet, unde instalau web shell-uri și mineri de criptomonede XMRig.
• Se credea că versiunile AhsayCBS 9.15.2.59 și 10.3.4.0 (august 2026) rezolvă problemele. Ahsay a recunoscut acum că acele corecții erau incomplete.
• Versiunile corectate noi: AhsayCBS v10.3.4.45 hotfix și AhsayCBS v9.15.2.70 hotfix. Ahsay recomandă repornirea serverului după aplicarea hotfix-ului.
• Huntress afirmă că a verificat independent că 10.3.4.45 blochează punctul inițial de intrare din lanțul de atac, la care versiunile v10 anterioare erau încă vulnerabile.
• CISA a adăugat ambele CVE-uri în catalogul Known Exploited Vulnerabilities (KEV) și a impus agențiilor federale americane termenul de 17 octombrie 2026 pentru aplicarea patch-urilor.

De ce contează

Serverele de backup sunt ținte valoroase. Stochează copii ale celor mai importante date ale companiei, rulează adesea cu privilegii largi și sunt frecvent accesibile din internet, ca agenții de backup să se poată conecta. Un web shell pe un server de backup îi oferă atacatorului un punct de acces persistent. Acum acest acces este folosit pentru minare de criptomonede, dar același acces ar putea servi la furtul sau alterarea backup-urilor, adică exact plasa de siguranță de care depindeți într-un incident ransomware.

Lecția mai mare este decalajul de patch: organizațiile care au aplicat conștiincios actualizarea din august pot crede, pe bună dreptate, că sunt protejate, deși nu sunt.

Ce trebuie să faceți

1. Inventar: identificați toate instanțele AhsayCBS, inclusiv cele găzduite de MSP-uri sau serverele de test uitate, și notați versiunea exactă.
2. Patch imediat: actualizați la v10.3.4.45 hotfix sau v9.15.2.70 hotfix, apoi reporniți serverul, conform instrucțiunilor producătorului. Nu considerați 10.3.4.0 sau 9.15.2.59 drept versiuni sigure.
3. Reduceți expunerea: restricționați interfața de administrare la rețele de încredere sau VPN acolo unde e posibil și evitați expunerea ei directă la internet.
4. Căutați semne de compromitere: patch-ul nu elimină un atacator care a intrat deja. Verificați fișiere web sau scripturi neașteptate în directoarele web AhsayCBS, procese necunoscute, consum ridicat și constant de CPU (semn tipic de minare) și conexiuni către pool-uri de minare.
5. Verificați integritatea backup-urilor: dacă găsiți semne de compromitere, tratați ca suspecte credențialele și datele de backup de pe acel server, rotiți secretele și confirmați că aveți puncte de restaurare curate.
6. Urmăriți KEV: termenul federal CISA este 17 octombrie 2026, un reper rezonabil pentru oricine altcineva.

Raportat de The Hacker News (15.10.2026); cercetarea privind exploatarea aparține Huntress. Rezumat și recomandări: echipa 4Tify.