Le 14 octobre 2026, la CISA a ajouté deux CVE Ahsay AhsayCBS à son catalogue KEV, avec une échéance au 17 octobre : CVE-2026-105133, un contournement d'authentification, et CVE-2026-105134, une injection de commande. La CISA précise qu'elles peuvent être chaînées.
AhsayCBS est un serveur de sauvegarde, souvent opéré par des prestataires qui sauvegardent les données de nombreux clients. C'est précisément le type de cible qu'il ne faut pas laisser traîner.
| CVE | Nature | CVSS | Publication NVD | Ajout KEV | Échéance |
|---|---|---|---|---|---|
| CVE-2026-105133 | Contournement d'authentification (API, checkSysPwd) | 7.3 (HIGH) | 2026-10-04 | 2026-10-14 | 2026-10-17 |
| CVE-2026-105134 | Injection de commande (Replication Receiver) | 10.0 (CRITICAL) | 2026-10-04 | 2026-10-14 | 2026-10-17 |
Vecteurs : CVE-2026-105133 AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L, CVE-2026-105134 AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H.
La CISA n'indique pas d'usage connu par des ransomwares pour ces deux entrées.
Ce que font les failles
CVE-2026-105133 touche la fonction checkSysPwd du composant API. NVD la décrit comme une authentification incorrecte exploitable à distance, et précise qu'un exploit est public.
CVE-2026-105134 touche le composant Replication Receiver. La CISA la décrit ainsi :
Ahsay AhsayCBS contains a command injection vulnerability that could allow a remote attacker to execute operating system commands [...]
NVD la note 10.0, avec un changement de portée (S:C), et indique là aussi qu'un exploit est public. Prise seule, la première affiche un score modéré. Ensemble, le scénario est clair : passer l'authentification avec la première, exécuter des commandes système avec la seconde. Les deux entrées KEV renvoient explicitement l'une à l'autre.
Pourquoi c'est grave : la sauvegarde est le dernier filet
Le 7.3 de CVE-2026-105133 ne dit rien de la chaîne. Ce qui compte, c'est ce que l'attaquant obtient au bout : le contrôle du serveur de sauvegarde.
Un serveur de sauvegarde, c'est :
- une copie de toutes les données des machines sauvegardées, souvent de plusieurs clients chez un prestataire
- le moyen de restaurer après un incident — et donc la première chose qu'un attaquant cherche à neutraliser avant de chiffrer ou de détruire
- des identifiants et des clés pour joindre les sources et les destinations de stockage
Les opérateurs de ransomware visent systématiquement les sauvegardes : supprimer les jeux de sauvegarde ou les rendre inutilisables avant de chiffrer la production, c'est retirer à la victime toute option autre que payer. Rien n'indique pour l'instant que ces deux CVE sont utilisées de cette façon — mais un serveur de sauvegarde compromis permet exactement cela.
Versions
NVD indique pour CVE-2026-105133 : AhsayCBS jusqu'à 10.3.2 est affecté, et la mise à jour en 10.3.4 corrige le problème. La borne CPE listée par NVD est 10.3.4.
Pour CVE-2026-105134, NVD donne la même plage : jusqu'à 10.3.2 affecté, 10.3.4 corrige. Une seule mise à jour ferme donc les deux maillons de la chaîne.
Détection
- Accès à l'API et à la console AhsayCBS depuis des adresses inhabituelles, ou réussis sans connexion préalable cohérente
- Processus enfants inattendus du service AhsayCBS : shells, outils de téléchargement, interpréteurs
- Modifications de la configuration de réplication non documentées
- Suppressions ou modifications de jeux de sauvegarde, de politiques de rétention ou de destinations de stockage
- Nouveaux comptes administrateurs ou utilisateurs
Mitigation
- Mettre à jour AhsayCBS en 10.3.4 (ou plus récent), avant l'échéance du 17 octobre.
- Retirer la console et l'API d'Internet quand ce n'est pas indispensable, ou les filtrer par adresse IP source.
- Restreindre le Replication Receiver aux seuls serveurs de réplication légitimes. S'il n'est pas utilisé, désactive-le.
- Garder une copie hors ligne ou immuable des sauvegardes critiques, inaccessible depuis le serveur AhsayCBS lui-même.
- En cas de doute : vérifier l'intégrité des jeux de sauvegarde, faire tourner les identifiants détenus par le serveur, et suivre la procédure de triage forensique demandée par la CISA.
Pourquoi surveiller vos serveurs de sauvegarde
Un serveur de sauvegarde n'a pas l'air d'un équipement exposé, jusqu'à ce qu'on regarde ce qu'il publie sur Internet. Quand il est la cible, c'est la capacité de reprise de toute l'organisation qui est en jeu.
Avec cveo.tech, inventorie tes logiciels de sauvegarde avec leur version exacte, et reçois une alerte dès qu'une CVE au CISA KEV les concerne.