Cyber alert per PMI svizzere: AhsayCBS – sfruttamento attivo, necessario l’hotfix 10.3.4.45
Aggiornamento: 12 ott
Ahsay ha corretto la precedente dichiarazione: AhsayCBS 10.3.4.0 non protegge completamente dalle vulnerabilità sfruttate attivamente CVE-2026-105133 e CVE-2026-105134. I server v10 interessati richiedono ora l’hotfix 10.3.4.45 e un successivo riavvio. Se il vostro fornitore IT usa AhsayCBS per i backup, chiedetegli oggi di confermare la build esatta e di verificare eventuali segni di compromissione.
Che cosa è successo?
Gli aggressori concatenano CVE-2026-105133 e CVE-2026-105134 per aggirare l’autenticazione ed eseguire comandi con privilegi NT AUTHORITY\SYSTEM sui server AhsayCBS raggiungibili. Huntress osserva questi attacchi dal 7 ottobre 2026, con l’installazione di web shell e miner XMRig.
Il 9 ottobre Ahsay aveva inizialmente dichiarato che la versione 10.3.4.0 risolveva le vulnerabilità. Il 10 ottobre il produttore ha corretto l’informazione: la patch precedente non risolveva completamente il problema. I sistemi v10 interessati devono ricevere l’hotfix 10.3.4.45 e poi essere riavviati.
La mia azienda potrebbe essere interessata?
Sì, se l’azienda gestisce AhsayCBS direttamente o se il fornitore IT o di servizi gestiti lo utilizza per amministrare i backup. La piattaforma può essere proposta con il marchio del fornitore; chiedete quindi esplicitamente se viene usato AhsayCBS.
La verifica riguarda i sistemi AhsayCBS v10 privi dell’hotfix 10.3.4.45. Una semplice conferma della versione « 10.3.4 » o « 10.3.4.0 » non è più sufficiente.
Che cosa occorre fare ora?
Chiedete oggi stesso al fornitore IT se AhsayCBS è in uso e quale build esatta è installata.
I server v10 interessati devono ricevere l’hotfix 10.3.4.45 e poi essere riavviati, come indicato da Ahsay.
L’interfaccia di amministrazione dovrebbe essere accessibile soltanto da indirizzi IP affidabili o tramite VPN.
Se il server era esposto a Internet prima dell’hotfix, è necessaria anche una verifica di compromissione. L’aggiornamento non rimuove web shell o altri meccanismi di persistenza già presenti.
Quanto è urgente?
Urgenza molto elevata. Le vulnerabilità sono sfruttate attivamente e possono consentire il controllo del server Windows senza credenziali valide. Poiché la correzione 10.3.4.0 indicata in precedenza era incompleta, anche i sistemi ritenuti già aggiornati devono essere ricontrollati immediatamente.
Informazioni per il fornitore IT
CVE-2026-105133: bypass dell’autenticazione in AhsayCBS.
CVE-2026-105134: esecuzione di comandi tramite la funzione Replication Receiver; nella catena osservata, esecuzione di codice remoto con privilegi NT AUTHORITY\SYSTEM.
Correzione attuale del produttore per i sistemi v10 interessati: hotfix AhsayCBS 10.3.4.45, seguito dal riavvio del server.
La versione 10.3.4.0 non è considerata una protezione completa dopo la rettifica del produttore del 10 ottobre 2026.
In caso di precedente esposizione a Internet, cercare processi figli insoliti di cbssvcX64.exe o cbssvcX86.exe, file JSP inattesi, nuovi servizi e gli IoC pubblicati da Huntress.
