CVE-2026-105134 : Ahsay AhsayCBS RCE CVSS 10 — exploitation active

Les faits

Depuis le 7 octobre 2026, des acteurs malveillants exploitent activement une chaîne de deux vulnérabilités critiques dans AhsayCBS, la console de gestion des sauvegardes éditée par Ahsay Systems Corporation. La combinaison de CVE-2026-105133 et CVE-2026-105134 permet à un attaquant non authentifié d'obtenir une exécution de code arbitraire avec les privilèges les plus élevés du système, sans interaction utilisateur requise.

CVE-2026-105134 est la vulnérabilité principale : une injection de commandes OS (OS Command Injection, CWE-78) affectant le composant Replication Receiver de la console. L'endpoint vulnérable est /rps/api/json/UpdateReceivers.do. Lorsqu'un attaquant soumet une requête à cet endpoint, le serveur construit et exécute une commande système à partir de paramètres contrôlés par l'attaquant, sans aucune validation ou neutralisation des caractères spéciaux. Sur les systèmes Windows, l'exécution se produit sous l'identité NT AUTHORITYSYSTEM, soit le compte de privilège maximum. Le score CVSS 3.1 atteint 10.0 (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H), selon VulDB.

CVE-2026-105133 constitue le premier maillon de la chaîne : un contournement d'authentification (Authentication Bypass) qui permet d'accéder sans identifiants valides aux endpoints protégés de l'API AhsayCBS, dont /rps/api/json/UpdateReceivers.do. Sans ce contournement, l'endpoint d'injection de commandes serait théoriquement protégé par une couche d'authentification. Ensemble, les deux CVE forment une chaîne Pre-Auth RCE complète : CVE-2026-105133 lève la barrière d'authentification, CVE-2026-105134 exécute les commandes souhaitées.

Les chercheurs de Bitdefender et de Huntress ont documenté les premières exploitations à partir du 7 octobre 2026. Les charges malveillantes observées dans les attaques réelles comprennent : des webshells JSP déposés pour maintenir un accès persistant sur le serveur, un cryptomineur XMRig camouflé sous le nom de fichier edge.exe pour masquer son identité en se faisant passer pour le navigateur Microsoft Edge, et la création de services Windows assurant la persistance au redémarrage. Ces éléments témoignent de groupes organisés cherchant à monétiser rapidement l'accès aux serveurs compromis.

La plateforme AhsayCBS (Cloud Backup Suite) est largement déployée dans les environnements d'entreprise, notamment chez des prestataires MSP (Managed Service Providers) et des équipes IT chargées de gérer les politiques de sauvegarde. Un serveur AhsayCBS compromis donne accès non seulement aux données sauvegardées (qui peuvent contenir des informations hautement sensibles), mais aussi à l'ensemble de l'infrastructure de sauvegarde, pouvant aboutir à une destruction ou un chiffrement malveillant des sauvegardes — une condition préalable souvent recherchée avant le déclenchement d'un ransomware.

L'étendue des versions affectées est particulièrement préoccupante : toutes les branches v7, v8, v9 et v10 d'AhsayCBS sont vulnérables. Selon Rescana, les déploiements exécutant la version v10.3.4.0 ne sont pas protégés même après la publication du hotfix initial du 12 octobre 2026, qui ne corrigeait que CVE-2026-105133 dans certaines branches. La version v10.3.4.45 constitue la première version véritablement protégée contre les deux CVE sur la branche v10.

Le 12 octobre 2026, Ahsay a publié un hotfix ciblant CVE-2026-105133 (le contournement d'authentification). Ce correctif interrompt la chaîne d'exploitation en empêchant l'accès non authentifié à l'endpoint vulnérable. Cependant, CVE-2026-105134 (l'injection de commandes sous-jacente) demeure présente dans le code jusqu'aux versions correctives complètes publiées ultérieurement : v10.3.4.45 pour la branche v10, et v9.15.2.70 pour les branches v7, v8 et v9. Les organisations utilisant des versions entre v10.3.4.0 et v10.3.4.44 inclus restent exposées à CVE-2026-105134 si d'autres vecteurs d'accès à l'API existent.

CISA a ajouté les deux CVE à son catalogue KEV (Known Exploited Vulnerabilities) en octobre 2026, imposant aux agences fédérales américaines une remédiation sous délai contraint. Selon les données de Bitdefender et Huntress, plusieurs centaines de serveurs AhsayCBS accessibles depuis Internet ont été compromis lors des premières semaines d'exploitation active, confirmant le caractère massif et opportuniste de cette campagne.

Impact et exposition

Tout déploiement d'AhsayCBS accessible depuis Internet est exposé, quelle que soit la configuration réseau du serveur derrière l'endpoint — la surface d'attaque est l'interface Web/API de la console, typiquement exposée sur les ports 80 et 443. Les environnements MSP sont particulièrement à risque car un seul serveur AhsayCBS peut gérer la politique de sauvegarde de dizaines voire centaines de clients.

Les conditions d'exploitation sont particulièrement défavorables pour les défenseurs : aucune authentification n'est requise, la complexité d'attaque est faible (Low), et aucune interaction utilisateur n'est nécessaire. Le CVSS 10.0 reflète fidèlement la réalité opérationnelle de cette vulnérabilité. Les preuves de concept (PoC) ont circulé dans des cercles privés avant d'être partiellement documentées publiquement par les chercheurs, et les exploitations in-the-wild sont confirmées depuis le 7 octobre 2026.

L'impact sur la confidentialité est maximal : un attaquant peut accéder aux configurations de sauvegarde, aux credentials stockés, et potentiellement exfiltrer des données sauvegardées. L'impact sur l'intégrité et la disponibilité est également maximal : l'attaquant peut détruire les sauvegardes, modifier les politiques, ou déployer un ransomware ciblant spécifiquement les données de sauvegarde pour maximiser l'impact d'une extorsion ultérieure.

Recommandations immédiates

• Mettre à jour AhsayCBS vers v10.3.4.45 (branche v10) ou v9.15.2.70 (branches v7, v8, v9) — Ahsay Security Advisory octobre 2026
• Si la mise à jour immédiate est impossible, isoler le serveur AhsayCBS derrière un VPN ou un pare-feu strict bloquant tout accès Internet direct à l'interface d'administration
• Rechercher les indicateurs de compromission : présence de fichiers edge.exe inhabituels, webshells JSP dans les répertoires de l'application, services Windows créés récemment avec des noms génériques
• Auditer les journaux d'accès à l'endpoint /rps/api/json/UpdateReceivers.do pour détecter des accès non authentifiés
• Vérifier l'intégrité des sauvegardes existantes