AhsayCBS : deux failles exploitées, que faire

Les serveurs de sauvegarde sont à nouveau dans le viseur. L'agence américaine de cybersécurité CISA a ajouté le 14 octobre 2026 à son catalogue des vulnérabilités exploitées (KEV) deux failles d'AhsayCBS, la plateforme serveur de sauvegarde de l'éditeur Ahsay. Enchaînées, ces deux vulnérabilités permettent à un attaquant distant d'exécuter des commandes système sans s'authentifier.

Deux failles qui s'enchaînent

La première, CVE-2026-105133, est un défaut d'authentification. Selon sa description publiée le 4 octobre, elle se situe dans la fonction checkSysPwd du composant API : en manipulant le paramètre random, un attaquant peut contourner l'authentification à distance. Elle est notée 7,3 sur 10 au barème CVSS 3.1 par VulDB, l'organisme qui l'a enregistrée.

La seconde, CVE-2026-105134, est une injection de commandes dans le composant Replication Receiver, via le point d'accès /rps/api/json/UpdateReceivers.do. Elle obtient la note maximale de 10 en CVSS 3.1. La CISA précise que les deux failles peuvent être enchaînées : la première ouvre l'accès, la seconde permet d'exécuter des commandes du système d'exploitation. Selon les fiches de vulnérabilité, un code d'exploitation a été rendu public.

Des premiers correctifs incomplets

Les fiches initiales indiquent que les versions jusqu'à la 10.3.2 sont concernées et recommandent de passer à la 10.3.4. Mais dans une alerte mise à jour le 12 octobre 2026, Ahsay reconnaît que ses correctifs précédents, les versions 9.15.2.59 et 10.3.4.0, ne corrigeaient pas entièrement ces vulnérabilités.

L'éditeur publie donc deux nouveaux correctifs :

• AhsayCBS 10.3.4.45 pour la branche v10 ;
• AhsayCBS 9.15.2.70 pour les branches v7, v8 et v9.

Ahsay demande de les appliquer immédiatement puis de redémarrer le serveur. L'accès aux correctifs passe par le portail partenaires de l'éditeur, avec un compte valide.

Une échéance déjà dépassée pour les agences américaines

La CISA avait fixé au 17 octobre la date limite de correction pour les agences fédérales américaines, un délai de trois jours seulement. L'agence ne précise pas si ces failles ont été utilisées dans des campagnes de rançongiciel. Pour la faille d'injection de commandes, elle exige en revanche un triage forensique des systèmes concernés, et pas seulement l'application du correctif : un serveur exposé avant la mise à jour peut avoir déjà été compromis.

Les mesures à prendre

Pour les administrateurs d'un serveur AhsayCBS, les priorités sont claires :

• vérifier la version installée et appliquer le correctif correspondant à sa branche, y compris si une mise à jour 10.3.4.0 ou 9.15.2.59 a déjà été installée ;
• limiter l'exposition sur internet des interfaces d'administration et de réplication en attendant le correctif ;
• examiner les journaux et les processus du serveur à la recherche d'activité inhabituelle, en particulier si l'instance était accessible depuis internet ;
• contrôler l'intégrité des sauvegardes elles-mêmes.

Ce dernier point est essentiel : un serveur de sauvegarde compromis peut servir à détruire ou altérer les copies dont dépend la reprise après un incident. D'où l'intérêt de conserver au moins une copie hors site, indépendante du serveur principal, comme le recommande la règle 3-2-1 des sauvegardes.