AhsayCBS: vulnerabilidade de injeção de comando CVE-2026-105134 explorada para instalar backdoor em Python

O que aconteceu

Duas vulnerabilidades no AhsayCBS, o software de servidor de backup da Ahsay, são públicas desde 4 de outubro de 2026. Elas não são novas, mas a CISA incluiu as duas em seu catálogo de vulnerabilidades conhecidas como exploradas em 14 de outubro de 2026. Relatos sobre os ataques descrevem que as falhas estão sendo usadas para instalar um backdoor em Python nos servidores. Qualquer servidor AhsayCBS que não tenha sido atualizado desde a divulgação está em risco.

• CVE-2026-105134 (CVSS 10): uma injeção de comando do sistema operacional no componente Replication Receiver. Atacantes enviam um argumento random manipulado para /rps/api/json/UpdateReceivers.do, e o ataque pode ser executado remotamente. Existe um exploit público.
• CVE-2026-105133 (CVSS 7.3): autenticação inadequada na função checkSysPwd da API (com/ahsay/obs/api/ApiStructsAction.java), também acionada pelo argumento random e explorável remotamente. Existe um exploit público.

Segundo as entradas das CVEs, a primeira correção não resolveu completamente o problema, por isso as entradas foram atualizadas depois. As versões corrigidas agora são indicadas como 9.15.2.70 e 10.3.4.45.

Quem é afetado

Você é afetado se executa o AhsayCBS em uma destas versões:

• 9.x até e incluindo 9.15.2.69
• 10.x até e incluindo 10.3.4.44

Outros produtos não são afetados. Se você instalou uma correção inicial para essas CVEs, mas ainda não está na 9.15.2.70 ou na 10.3.4.45, considere que seu servidor continua vulnerável.

O que fazer agora

1. Verifique qual versão do AhsayCBS você executa, seja no console de gerenciamento web ou no diretório de instalação.
2. Faça backup da configuração do AhsayCBS.
3. Atualize para 9.15.2.70 (ramo 9.x) ou 10.3.4.45 (ramo 10.x) ou posterior. Consulte o aviso da Ahsay vinculado abaixo para links de download e eventuais passos adicionais.
4. Reinicie o serviço AhsayCBS e confirme que os backups e a replicação voltaram a funcionar.
5. Até que a atualização seja instalada, bloqueie o acesso às portas web e de API do AhsayCBS a partir da internet, ou limite-o a endereços IP conhecidos. Os endpoints de replicação, em especial, não devem estar abertos a qualquer pessoa.
6. Seu servidor pode ter sido atacado antes da atualização, então verifique sinais de comprometimento conforme descrito abaixo. Se encontrar um backdoor, trate o servidor como comprometido. Reconstrua-o a partir de um estado limpo conhecido e altere todas as senhas e credenciais de API armazenadas nele ou usadas por ele.

Como verificar se você é afetado

• Versão: qualquer versão abaixo de 9.15.2.70 ou 10.3.4.45 é vulnerável.
• Logs web e de acesso: procure requisições para /rps/api/json/UpdateReceivers.do, especialmente de endereços IP desconhecidos ou com conteúdo incomum no parâmetro random. Analise a atividade desde 4 de outubro de 2026, no mínimo.
• Processos e arquivos: procure processos Python inesperados, scripts Python ou executáveis criados recentemente e novas tarefas agendadas, jobs de cron ou serviços no servidor AhsayCBS.
• Rede: verifique conexões de saída do servidor para hosts desconhecidos.
• Contas: revise as contas de administrador e de usuário no AhsayCBS e no sistema operacional em busca de entradas que você não criou.

A CISA não divulga detalhes sobre os ataques. Para indicadores de comprometimento, consulte os relatórios de segurança vinculados abaixo.

Fontes

• https://nvd.nist.gov/vuln/detail/CVE-2026-105133
• https://nvd.nist.gov/vuln/detail/CVE-2026-105134