Le vulnerabilità di AhsayCBS portano a nuovi hotfix dopo gli attacchi
Le vulnerabilità di AhsayCBS CVE-2026-105133 e CVE-2026-105134 hanno ricevuto hotfix sostitutivi dopo che alcuni aggressori hanno sfruttato le falle per installare web shell e miner di criptovalute XMRig. Una web shell è un file o programma dannoso che consente a un aggressore di controllare da remoto un web server. XMRig è un software che utilizza le risorse di calcolo di un sistema compromesso per generare criptovaluta. Ahsay Backup, lo sviluppatore di AhsayCBS con sede a Singapore, ha pubblicato i nuovi aggiornamenti dopo aver confermato che le patch precedenti non avevano risolto completamente le vulnerabilità.
Le due falle possono essere concatenate, il che significa che un aggressore può combinarle come passaggi successivi di una singola intrusione. Insieme consentono di aggirare l'authentication e di eseguire arbitrary commands su un server interessato. L'authentication è il controllo che normalmente richiede a un utente di dimostrare la propria identità, mentre l'esecuzione di arbitrary commands significa che un aggressore può far compiere al sistema operazioni di propria scelta. Huntress ha segnalato all'inizio di questo mese che alcuni threat actor avevano combinato le vulnerabilità per ottenere una remote code execution senza authentication, ossia la capacità di controllare un sistema attraverso una rete senza prima effettuare l'accesso.
Huntress ha dichiarato di aver osservato aggressori utilizzare tale accesso per distribuire web shell e miner di criptovalute sui sistemi esposti. Le web shell potevano offrire una via di accesso persistente ai server compromessi, mentre le installazioni di XMRig impiegavano tali sistemi per il mining di criptovalute. Il rapporto non identifica alcun threat group specifico. Per le organizzazioni che utilizzano AhsayCBS, il punto importante è che lo sfruttamento è stato osservato concretamente e non è rimasto soltanto una possibilità teorica.
Inizialmente si riteneva che le versioni AhsayCBS 9.15.2.59 e 10.3.4.0, pubblicate nell'agosto 2026, risolvessero le vulnerabilità. Ahsay Backup ha successivamente confermato che tali patch non avevano eliminato completamente le falle. I sistemi che eseguono queste versioni non devono quindi essere considerati protetti soltanto perché sono stati installati gli aggiornamenti di agosto. Gli amministratori devono controllare il numero esatto della build installata, invece di basarsi unicamente sul fatto che sia stato applicato un precedente aggiornamento di sicurezza.
Le correzioni sostitutive sono AhsayCBS v10.3.4.45 hotfix e AhsayCBS v9.15.2.70 hotfix. Un hotfix è un aggiornamento software mirato, destinato a correggere rapidamente un problema specifico senza attendere una release più ampia. Ahsay Backup ha esortato i clienti ad agire immediatamente a causa della gravità del rischio e della necessità di proteggere i dati dei clienti. L'azienda ha inoltre indicato agli amministratori di riavviare il server dopo aver applicato l'hotfix appropriato, rendendo il riavvio una parte obbligatoria del processo di aggiornamento anziché un passaggio successivo facoltativo.
Huntress ha testato in modo indipendente AhsayCBS 10.3.4.45 hotfix e ha riferito che blocca l'entry point iniziale utilizzato dall'attack chain. Secondo Huntress, tale entry point era rimasto vulnerabile nelle precedenti release della versione 10. La verifica dichiarata si applica specificamente a 10.3.4.45 hotfix e alla via di accesso iniziale dell'attack chain. Le informazioni disponibili non descrivono test indipendenti equivalenti di 9.15.2.70 hotfix.
L'applicazione dell'aggiornamento impedisce la via di accesso iniziale nota, ma il solo aggiornamento non permette di stabilire se un server sia stato compromesso prima dell'installazione della correzione. Poiché Huntress ha osservato la distribuzione di web shell e software di mining, i responsabili dei sistemi AhsayCBS esposti devono considerare l'applicazione delle patch e la verifica di un'eventuale intrusione precedente come attività separate. I proprietari di siti web o le aziende che non amministrano direttamente il server devono chiedere al proprio provider di hosting o IT di confermare la versione installata, completare il riavvio ed esaminare il sistema alla ricerca di file sconosciuti o software di mining.
Gli attacchi attivi hanno indotto la Cybersecurity and Infrastructure Security Agency statunitense, nota come CISA, ad aggiungere entrambe le vulnerabilità al proprio catalogo Known Exploited Vulnerabilities. Questo catalogo, comunemente abbreviato in KEV, elenca le falle di sicurezza di cui è stato confermato l'impiego in attacchi reali. Le agenzie federali statunitensi sono tenute ad applicare le correzioni entro il 17 ottobre 2026. Tale scadenza si applica a queste agenzie, ma il rischio di sfruttamento riguarda anche le altre organizzazioni che gestiscono sistemi interessati.
Per i provider di hosting e le aziende, un sistema vulnerabile di gestione dei backup richiede un intervento tempestivo, perché può esporre un servizio amministrativo raggiungibile da remoto e può contenere dati dei clienti che il fornitore ha esortato gli utenti a proteggere. Gli amministratori devono verificare sia l'installazione dell'hotfix sia il riavvio richiesto, mentre qualsiasi segno di una web shell o di un miner deve essere trattato come prova di una possibile compromissione e non come un normale malfunzionamento del software.
Le organizzazioni che necessitano di assistenza esterna per questo tipo di risposta sui sistemi possono prendere in considerazione AEU-I, che offre servizi IT, infrastrutturali e di consulenza con un approccio security-first. La priorità immediata per ogni operatore di AhsayCBS resta installare il corretto hotfix sostitutivo, riavviare il server e controllare se qualcuno abbia effettuato l'accesso al sistema prima dell'applicazione della patch.