Alerte cyber pour PME suisses : AhsayCBS – exploitation active, hotfix 10.3.4.45 requis
Dernière mise à jour : 12 oct.
Ahsay est revenu sur sa déclaration précédente : AhsayCBS 10.3.4.0 ne protège pas complètement contre les vulnérabilités activement exploitées CVE-2026-105133 et CVE-2026-105134. Les serveurs v10 concernés doivent désormais recevoir le hotfix 10.3.4.45, puis être redémarrés. Si votre prestataire informatique utilise AhsayCBS pour vos sauvegardes, demandez-lui aujourd’hui de confirmer la version exacte et de rechercher des signes de compromission.
Que s’est-il passé ?
Les attaquants enchaînent CVE-2026-105133 et CVE-2026-105134 pour contourner l’authentification et exécuter des commandes avec les privilèges NT AUTHORITY\SYSTEM sur des serveurs AhsayCBS accessibles. Huntress observe ces attaques depuis le 7 octobre 2026, avec notamment l’installation de web shells et de mineurs XMRig.
Ahsay a d’abord déclaré le 9 octobre que la version 10.3.4.0 corrigeait les vulnérabilités. Le 10 octobre, l’éditeur a rectifié cette information : le correctif précédent ne résolvait pas entièrement le problème. Les systèmes v10 concernés doivent recevoir le hotfix 10.3.4.45, puis être redémarrés.
Mon entreprise pourrait-elle être concernée ?
Oui, si votre entreprise exploite AhsayCBS ou si votre prestataire informatique ou de services managés l’utilise pour gérer vos sauvegardes. La plateforme peut être proposée sous la marque du prestataire ; demandez donc explicitement si AhsayCBS est utilisé.
Les systèmes AhsayCBS v10 sans hotfix 10.3.4.45 sont concernés par cette vérification. Une simple confirmation de la version « 10.3.4 » ou « 10.3.4.0 » n’est plus suffisante.
Que faut-il faire maintenant ?
Demandez aujourd’hui à votre prestataire informatique si AhsayCBS est utilisé et quelle version exacte est installée.
Les serveurs v10 concernés doivent recevoir le hotfix 10.3.4.45, puis être redémarrés conformément aux instructions d’Ahsay.
L’interface d’administration doit être accessible uniquement depuis des adresses IP fiables ou via un VPN.
Si le serveur était exposé à Internet avant le hotfix, une recherche de compromission est également nécessaire. Une mise à jour ne supprime pas les web shells ni les autres mécanismes de persistance déjà présents.
Quel est le degré d’urgence ?
Très élevé. Les vulnérabilités sont activement exploitées et peuvent permettre de prendre le contrôle du serveur Windows sans identifiants valides. Le correctif 10.3.4.0 précédemment indiqué étant incomplet, les systèmes considérés comme corrigés doivent aussi être contrôlés immédiatement.
Informations pour votre prestataire informatique
CVE-2026-105133 : contournement de l’authentification dans AhsayCBS.
CVE-2026-105134 : exécution de commandes via la fonction Replication Receiver ; dans la chaîne observée, exécution de code à distance avec les privilèges NT AUTHORITY\SYSTEM.
Correctif actuel de l’éditeur pour les systèmes v10 concernés : hotfix AhsayCBS 10.3.4.45, suivi d’un redémarrage du serveur.
La version 10.3.4.0 n’est pas considérée comme une protection complète depuis la rectification de l’éditeur du 10 octobre 2026.
En cas d’exposition antérieure à Internet, rechercher les processus enfants inhabituels de cbssvcX64.exe ou cbssvcX86.exe, les fichiers JSP inattendus, les nouveaux services et les IoC publiés par Huntress.
