AhsayCBS în KEV: hotfixul 10.3.4.45 după un patch eșuat

Ce este confirmat

Potrivit Huntress, cele două CVE-uri au fost publicate în NVD pe 4 octombrie, iar exploatarea a fost observată prima dată pe 7 octombrie, la 23:20 UTC. CVE-2026-105133 este o autentificare necorespunzătoare în funcția checkSysPwd, un bypass de autentificare; CVE-2026-105134 este o injectare de comenzi în componenta Replication Receiver, cu execuție de cod ca SYSTEM. Atacatorii le-au înlănțuit: întâi ocolesc autentificarea, apoi execută cod. eSecurityPlanet raportează scoruri CVSS de 5,5 pentru prima (atribuit VulDB) și 9,3 pentru a doua, fără să numească sursa scorului.

Huntress raportează că, la 8 octombrie, cinci organizații erau țintite; eSecurityPlanet notează că asta nu înseamnă neapărat cinci breșe confirmate. CISA a adăugat ambele CVE-uri în KEV pe 14 octombrie, cu termen 17 octombrie, conform feed-ului CISA.

• ▸Huntress — AhsayCBS: exploatarea și actualizările
• ▸Ahsay — anunț pentru CVE-2026-105133 și CVE-2026-105134
• ▸eSecurityPlanet — patch-ul Ahsay a eșuat
• ▸CISA — catalogul Known Exploited Vulnerabilities

Patch-ul care nu a ajuns

Anunțul Ahsay din 10 octombrie spune că versiunea 10.3.4.0 „nu a rezolvat complet” cele două CVE-uri. Pentru partenerii cu versiunea 10, Ahsay indică hotfixul AhsayCBS 10.3.4.45, urmat de repornirea serverului; hotfixul este disponibil doar prin portalul de parteneri, cu cont valid. Huntress spune că a verificat independent că 10.3.4.45 blochează punctul de intrare al lanțului și că buildurile v10 anterioare rămân vulnerabile acolo.

Huntress a corectat pe 8 octombrie o afirmație anterioară: versiunea 10.3.4 este și ea afectată. NVD a listat inițial 10.3.4 ca neafectată, apoi cercetările au contrazis-o. Pentru liniile v7, v8 și v9, Huntress indică, în actualizarea din 12 octombrie, hotfixul 9.15.2.70, dar pagina Ahsay pe care am citit-o nu dă îndrumări pentru ele. Dacă rulezi o versiune mai veche, confirmă direct cu Ahsay înainte să te bazezi pe oricare dintre cele două surse.

• ▸Ahsay — hotfixul 10.3.4.45
• ▸Huntress — versiuni afectate și hotfix-uri

Ce fac atacatorii după acces

Huntress descrie configurarea unui replication receiver rău intenționat și, în unele incidente, instalarea de webshell-uri JSP în directorul aplicației web. Apoi sunt descărcate fișiere în foldere Temp din stocare cloud controlată de atacator, cu curl și certutil, și este pornit un miner XMRig deghizat în proces Microsoft Edge, cu un serviciu Windows al cărui nume imită Edge Update. Într-un incident a fost încărcat un driver legitim, dar vulnerabil, de acces hardware (WinRing0). Huntress nu a raportat, în incidentele investigate, ransomware sau furt confirmat de date din backup, potrivit eSecurityPlanet.

Huntress consideră scriptul PowerShell „probabil asistat de AI”, pe baza codului comentat; este o inferență, nu un fapt confirmat. Nu se știe cine este atacatorul și dacă toate incidentele aparțin aceluiași actor. Nu se știe nici dacă hotfixul 10.3.4.45 închide complet CVE-2026-105134, în afară de punctul de intrare verificat.

• ▸Huntress — activitatea după exploatare
• ▸eSecurityPlanet — ce rămâne necunoscut

Ce faci azi

• ▸Găsește toate instanțele AhsayCBS, inclusiv cele ale furnizorilor și cele moștenite. Notează versiunea exactă și dacă interfața de administrare este accesibilă din Internet.
• ▸Aplică hotfixul potrivit liniei tale, reîncarcă serverul și verifică buildul care rulează efectiv, nu doar pachetul descărcat.
• ▸Restricționează interfața de administrare la adrese de încredere sau doar prin VPN, cum recomandă Huntress.
• ▸Caută procese-copil neașteptate ale cbssvcX64.exe sau cbssvcX86.exe, webshell-uri JSP în directorul aplicației, servicii Windows nefamiliare cu nume de tip Edge și fișiere ca edge.exe, msedge.exe, config.json sau WinRing0x64.sys în Temp. Huntress publică patru reguli Sigma și lista de indicatori în raportul său.
• ▸Dacă găsești indicatori, Huntress recomandă reinstalarea completă a gazdei dintr-o sursă de încredere, pentru că atacatorii pot lăsa backdoor-uri secundare. Păstrează dovezile înainte și verifică integritatea backup-urilor.

• ▸Huntress — detecție și mitigare

Închide alerta cu dovezi

Pentru fiecare instanță, păstrează versiunea înainte, buildul după hotfix, data repornirii, restricțiile de rețea aplicate, rezultatul căutării de indicatori și, pentru instanțele rămase neactualizate, motivul și termenul. Un termen KEV federal nu se aplică automat companiilor private, dar trei zile de la adăugare spun cât de repede se așteaptă remedierea unui serviciu de backup expus.