AhsayCBS : la console de sauvegarde devient la cible

Le 14 octobre 2026, la CISA a inscrit à son catalogue KEV deux failles d'AhsayCBS, une plateforme de sauvegarde. L'éditeur de sécurité Huntress en observait l'exploitation depuis le 7 octobre. Le détail qui compte : Huntress écrit qu'AhsayCBS est surtout utilisée par des fournisseurs de services gérés. Une console de sauvegarde de MSP, c'est la dernière ligne de défense de dizaines de clients à la fois.

Ce que disent les sources

Huntress (8 octobre, mis à jour). Les deux failles sont CVE-2026-105133, un contournement d'authentification de sévérité moyenne dans la fonction checkSysPwd, et CVE-2026-105134, une injection de commande critique atteinte par l'API Replication Receiver, qui « can be exploited to achieve unauthenticated remote code execution as NT AUTHORITY/SYSTEM on the host ». Huntress a vu l'exploitation à partir du 7 octobre 2026 à 23 h 20 UTC et comptait, au 8 octobre, cinq organisations visées.

Après l'intrusion : des webshells JSP dans le répertoire de l'application, un script PowerShell qui cache le mineur du gestionnaire des tâches, un binaire NSSM modifié pour la persistance, un mineur XMRig déguisé en « edge.exe » et un pilote noyau vulnérable.

Sur les versions, Huntress écrit que « AhsayCBS versions up through 10.3.4 are affected », y compris 10.3.4.0, d'abord annoncée comme non vulnérable. Le 12 octobre, Ahsay a publié un correctif : les versions v10 doivent appliquer le correctif 10.3.4.45, que Huntress dit avoir vérifié, et les versions 7 à 9 le correctif 9.15.2.70.

La CISA (14 octobre). Les deux failles figurent au catalogue KEV, sous les noms « Ahsay AhsayCBS Improper Authentication Vulnerability » et « Ahsay AhsayCBS Command Injection Vulnerability », avec une échéance au 17 octobre pour les agences fédérales américaines.

Pourquoi ça compte

Les attaquants observés ici installaient un mineur de cryptomonnaie. C'est le scénario le moins grave. Le même accès, en tant que SYSTEM sur la console qui pilote les sauvegardes, permet de lire les données de chaque client, de supprimer les copies ou de les chiffrer avant de lancer un rançongiciel sur les postes. La sauvegarde est ce qui permet de refuser de payer ; une console compromise retire ce choix.

Le second enseignement porte sur le correctif. La première version annoncée comme corrigée ne l'était pas. Une équipe qui a coché « fait » sur la 10.3.4.0 était encore exposée jusqu'au 12 octobre.

La chaîne ne demande enfin aucun identifiant. La première faille contourne l'authentification, la seconde exécute des commandes par une API prévue pour la réplication entre serveurs, une interface que peu d'exploitants considèrent comme exposée. Une console qui répond depuis Internet suffit.

Ce que nous en pensons chez Sentrix

1. Retirer la console d'Internet. Huntress recommande de limiter l'interface de gestion à des adresses de confiance ou au VPN. C'est la mesure immédiate, avant même le correctif.
2. Appliquer le bon correctif : 10.3.4.45 pour la v10, 9.15.2.70 pour les versions 7 à 9. Vérifiez le numéro exact, pas seulement « à jour ».
3. Chercher une compromission, puis réinstaller l'hôte s'il y a le moindre indicateur, comme le recommande Huntress. Notre service de réponse aux incidents peut mener cette vérification.
4. Tester une restauration depuis une copie hors ligne ou immuable, que la console ne peut pas effacer. C'est le sujet de notre article sur la sauvegarde qui tient.
5. Inscrire la console de sauvegarde à l'inventaire des actifs exposés, au même rang qu'un VPN. C'est ce que le module CTEM d'exposition continue tient à jour.

Pour un MSP, chaque client doit savoir, dans ses propres mots, où sont ses copies et qui peut les supprimer. Écrivez-le dans le contrat et dans le rapport mensuel.

La prochaine étape

Si vous exploitez AhsayCBS ou un service de sauvegarde qui l'utilise, demandez aujourd'hui la version exacte installée, la date du correctif et le résultat de la recherche de compromission. Si vous voulez faire cette vérification avec nous, contactez-nous.