Faille AhsayCBS : la chronologie d’une attaque contre les serveurs de sauvegarde
Le 8 octobre 2026, l’équipe de Huntress a signalé que des pirates exploitent activement deux failles dans AhsayCBS, la console de gestion du logiciel de sauvegarde Ahsay. Ce produit est surtout utilisé par des fournisseurs de services informatiques (MSP) et des intégrateurs pour gérer les sauvegardes de leurs clients. Autrement dit, si votre entreprise confie ses sauvegardes à un fournisseur, la faille AhsayCBS peut vous concerner sans que vous ayez jamais entendu ce nom.
Point important au moment d’écrire ces lignes : selon Huntress, il n’existe pas encore de correctif, et la version 10.3.4, d’abord présentée comme sûre, est elle aussi touchée.
La chronologie, heure par heure
Heures converties en heure de l’Est (HAE) à partir des données de Huntress.
Publication des deux failles
La base NVD publie CVE-2026-105133 (contournement de l’authentification, gravité moyenne) et CVE-2026-105134 (exécution de code à distance sans authentification, critique).
19 h 20
Premières attaques observées
Huntress voit des pirates enchaîner les deux failles : la première pour passer l’authentification, la seconde pour exécuter des commandes avec les droits SYSTEM de Windows.
Cinq organisations ciblées
Les pirates déposent des webshells (portes dérobées web), installent le mineur de cryptomonnaie XMRig déguisé en Microsoft Edge et créent un faux service « MicrosoftEdgeUpdateSvc » pour rester en place.
18 h
Correction importante
Huntress confirme que la version 10.3.4 est aussi vulnérable, contrairement aux premières informations, et dit avoir contacté Ahsay. Recommandation : restreindre l’accès à la console en attendant un correctif.
Un détail qui en dit long : le script « anti-Gestionnaire des tâches »
Parmi les fichiers déposés, Huntress a trouvé un script PowerShell, Taskgmr.ps1, qui semble avoir été écrit avec l’aide d’une IA (vu ses commentaires). Son rôle : arrêter le minage dès qu’un utilisateur ouvre le Gestionnaire des tâches, puis le relancer une fois la fenêtre fermée. Il ferme même le Gestionnaire des tâches à 18 h ou s’il reste ouvert plus d’une heure la nuit. Dans un des cas, les pirates ont aussi chargé un pilote Windows légitime mais vulnérable (WinRing0) pour donner au mineur un accès direct au matériel.
Le minage paraît anodin. Il ne l’est pas : quelqu’un qui peut lancer des commandes avec les droits SYSTEM sur votre serveur de sauvegarde peut aussi, demain, effacer ou chiffrer ces sauvegardes.
Êtes-vous concerné ? Trois questions
| Question | Si la réponse est oui |
|---|---|
| Vos sauvegardes passent-elles par un logiciel Ahsay (souvent revendu sous une autre marque par un fournisseur) ? | Demandez à votre fournisseur s’il utilise AhsayCBS et quelle version. |
| La console AhsayCBS est-elle accessible depuis Internet ? | Elle doit être limitée à des adresses IP de confiance ou passer par un VPN, comme le recommande Huntress. |
| Le serveur montre-t-il un service « MicrosoftEdgeUpdateSvc » ou des fichiers edge.exe / msedge.exe dans un dossier Temp ? | Huntress recommande une réinstallation complète du serveur à partir d’une sauvegarde fiable, car les pirates ont pu cacher d’autres portes dérobées. |
La leçon pour toutes les entreprises : vos sauvegardes sont une cible
On voit la sauvegarde comme le filet de sécurité. Pour un pirate, c’est la première chose à neutraliser avant un rançongiciel. Trois réflexes valent pour n’importe quel produit, Ahsay ou non :
- Aucune console d’administration exposée à Internet. Sauvegarde, pare-feu, accès à distance : accès par VPN ou liste d’adresses IP seulement. On l’a vu avec FortiBleed et avec les serveurs d’IA exposés.
- Une copie hors ligne ou immuable. Au moins une copie que personne, même un administrateur piraté, ne peut effacer pendant une période donnée.
- Des questions claires à votre fournisseur. Quel logiciel, quelle version, qui surveille la console ? Notre liste de questions à poser à votre hébergeur s’applique aussi ici.
Chez NeoTech, notre surveillance automatisée 24/7 avec intervention du technicien de garde repère justement ce genre de comportement anormal (un service de sauvegarde qui lance des commandes, un faux processus Edge qui consomme le processeur). Voir aussi nos services de cybersécurité.
Réservez votre Bilan cyber gratuit
Vous ne savez pas quel logiciel protège vos sauvegardes, ni s’il est visible depuis Internet ? En une courte rencontre, on fait le point et on vous dit quoi corriger en premier.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Sources
- Huntress — Threat Actors Exploit Critical AhsayCBS Flaws to Drop Webshells and XMRig Cryptominer (8 octobre 2026, mis à jour le 8 octobre à 18 h HAE, en anglais)
- SecurityOnline — AhsayCBS Vulnerabilities Exploited in Wild Attacks (octobre 2026, en anglais)
Photo : Derrick Coetzee, Wikimedia Commons (CC0, domaine public).
One thought on “Faille AhsayCBS : la chronologie d’une attaque contre les serveurs de sauvegarde”