Aller au contenu
Centoculus
fr

Alerte de sécurité · Critique

AhsayCBS : injection de commande exploitée CVE-2026-105134 utilisée pour déposer une porte dérobée Python

· 3 minutes de lecture · Centoculus Security Team

Connue depuis le · attaques confirmées depuis le

Concernés: AhsayCBS jusqu'à 9.15.2.69 et 10.x jusqu'à 10.3.4.44 (corrigé dans 9.15.2.70 et 10.3.4.45)

Ce qui s'est passé

Deux vulnérabilités d'AhsayCBS, le logiciel de serveur de sauvegarde d'Ahsay, sont publiques depuis le 4 octobre 2026. Elles ne sont pas nouvelles, mais la CISA a ajouté les deux à son catalogue des vulnérabilités connues exploitées le 14 octobre 2026. Les rapports sur ces attaques décrivent des failles utilisées pour installer une porte dérobée Python sur des serveurs. Tout serveur AhsayCBS qui n'a pas été mis à jour depuis la divulgation est exposé.

  • CVE-2026-105134 (CVSS 10) : une injection de commande système dans le composant Replication Receiver. Les attaquants envoient un argument random manipulé vers /rps/api/json/UpdateReceivers.do, et l'attaque peut être exécutée à distance. Un exploit public existe.
  • CVE-2026-105133 (CVSS 7.3) : une authentification incorrecte dans la fonction checkSysPwd de l'API (com/ahsay/obs/api/ApiStructsAction.java), déclenchée également via l'argument random et exploitable à distance. Un exploit public existe.

Selon les fiches CVE, le premier correctif ne résolvait pas entièrement le problème, et les fiches ont donc été mises à jour. Les versions corrigées sont désormais 9.15.2.70 et 10.3.4.45.

Qui est concerné

Vous êtes concerné si vous exploitez AhsayCBS dans l'une de ces versions :

  • 9.x jusqu'à 9.15.2.69 inclus
  • 10.x jusqu'à 10.3.4.44 inclus

Les autres produits ne sont pas concernés. Si vous avez installé un correctif provisoire pour ces CVE sans être encore passé à 9.15.2.70 ou 10.3.4.45, considérez que votre serveur reste vulnérable.

Que faire maintenant

  1. Vérifiez la version d'AhsayCBS que vous utilisez, dans la console de gestion web ou dans le répertoire d'installation.
  2. Sauvegardez la configuration d'AhsayCBS.
  3. Mettez à jour vers 9.15.2.70 (branche 9.x) ou 10.3.4.45 (branche 10.x), ou une version ultérieure. Consultez l'avis d'Ahsay indiqué ci-dessous pour les liens de téléchargement et les éventuelles étapes supplémentaires.
  4. Redémarrez le service AhsayCBS et vérifiez que les sauvegardes et la réplication fonctionnent à nouveau.
  5. Tant que la mise à jour n'est pas installée, bloquez l'accès aux ports web et API d'AhsayCBS depuis Internet, ou limitez-le à des adresses IP connues. Les points de terminaison de réplication, en particulier, ne doivent pas être ouverts à tous.
  6. Votre serveur a pu être attaqué avant votre mise à jour : vérifiez-le à la recherche de signes de compromission, comme décrit ci-dessous. Si vous trouvez une porte dérobée, considérez le serveur comme compromis. Reconstruisez-le à partir d'un état sain connu et changez tous les mots de passe et identifiants d'API stockés sur ce serveur ou utilisés par lui.

Comment vérifier si vous êtes concerné

  • Version : toute version inférieure à 9.15.2.70 ou 10.3.4.45 est vulnérable.
  • Journaux web et d'accès : recherchez les requêtes vers /rps/api/json/UpdateReceivers.do, en particulier depuis des adresses IP inconnues ou avec un contenu inhabituel dans le paramètre random. Examinez l'activité depuis le 4 octobre 2026 au plus tard.
  • Processus et fichiers : recherchez des processus Python inattendus, des scripts Python ou des exécutables créés récemment, ainsi que de nouvelles tâches planifiées, tâches cron ou services sur le serveur AhsayCBS.
  • Réseau : vérifiez les connexions sortantes du serveur vers des hôtes inconnus.
  • Comptes : examinez les comptes administrateur et utilisateur d'AhsayCBS et du système d'exploitation, et repérez les entrées que vous n'avez pas créées.

La CISA ne donne pas de détails sur les attaques. Pour les indicateurs de compromission, consultez les rapports de sécurité indiqués ci-dessous.

Sources

Autres sources (9)

Autres articles