AhsayCBS: falle senza patch sfruttate per web shell e cryptominer

Due vulnerabilità di AhsayCBS, la console centralizzata con cui si gestiscono server di backup in cloud, sono sfruttate in attacchi reali e non hanno ancora una correzione. Sono CVE-2026-105133 (bypass di autenticazione) e CVE-2026-105134 (command injection nel sistema operativo). La società di rilevamento e risposta Huntress ha osservato attaccanti che le concatenano per eseguire codice da remoto senza autenticazione, installare web shell JSP e avviare il miner di criptovaluta XMRig camuffato da Microsoft Edge. Secondo Huntress è vulnerabile anche la 10.3.4, l’ultima versione disponibile.

Cosa è successo

AhsayCBS, sviluppato da Ahsay Systems, gestisce policy di backup, storage e utenti. È diffuso soprattutto tra managed service provider (MSP) e system integrator, che lo usano per i backup dei propri clienti.

Le due vulnerabilità sono state rese pubbliche il 4 ottobre. Secondo SecurityWeek, in quell’occasione il NIST segnalava che il codice di un exploit era già pubblico e che erano colpite le versioni di AhsayCBS fino alla 10.3.2. BleepingComputer riporta invece che le falle risultavano corrette nella 10.3.2. Su un punto le fonti concordano: dopo ulteriori verifiche, Huntress ha stabilito che anche la 10.3.4 è vulnerabile.

L’attività malevola è stata osservata il 7 ottobre, secondo BleepingComputer. All’8 ottobre le organizzazioni prese di mira erano almeno cinque. Le fonti non nominano le vittime né attribuiscono gli attacchi a un gruppo preciso. BleepingComputer ha chiesto ad Ahsay quando arriveranno le correzioni, senza ricevere risposta prima della pubblicazione.

Dettagli tecnici

• CVE-2026-105133: bypass di autenticazione, con un exploit pubblico.
• CVE-2026-105134: command injection nel sistema operativo.
• Gravità: secondo BleepingComputer una delle due è critica e l’altra di gravità media; le fonti non dicono quale.
• Versioni colpite: tutte fino alla 10.3.4 compresa, secondo Huntress. Al momento non esiste una versione corretta.
• Vettore: rete, attraverso il servizio web dell’applicazione esposto su Internet.

Huntress, citata da SecurityWeek, descrive il punto d’ingresso: un’API del componente Replication Receiver contiene un bypass di autenticazione per cui un token qualsiasi può sostituire credenziali valide. Così si ottiene l’esecuzione di codice da remoto, senza autenticazione e con privilegi SYSTEM. SecurityWeek lega questo comportamento a CVE-2026-105134, mentre BleepingComputer descrive la catena in due passi: prima CVE-2026-105133 per aggirare l’autenticazione, poi CVE-2026-105134 per eseguire codice.

La catena d’attacco osservata

1. Accesso iniziale: sfruttamento delle due vulnerabilità sull’interfaccia web esposta.
2. Web shell: l’attaccante configura un receiver malevolo e deposita una web shell JSP nella cartella dell’applicazione servita da AhsayCBS.
3. Ricognizione del sistema compromesso.
4. Cryptomining: download di XMRig con il nome edge.exe.
5. Persistenza: un servizio Windows chiamato MicrosoftEdgeUpdateSvc avvia msedge.exe, che in realtà è una copia modificata dell’utility legittima NSSM (Non-Sucking Service Manager), con privilegi SYSTEM. NSSM tiene in esecuzione il miner e lo riavvia dopo un crash o un riavvio.
6. Occultamento: lo script PowerShell Taskgmr.ps1, secondo Huntress scritto con l’aiuto dell’IA, ferma il servizio quando si apre Gestione attività e lo riavvia quando si chiude. Chiude inoltre Gestione attività alle 18, ora locale, o se resta aperta per più di un’ora durante la notte.
7. Driver vulnerabile: in un caso l’attaccante ha installato WinRing0x64.sys, un driver legittimo ma vulnerabile, per dare al miner accesso a livello di kernel e più risorse hardware.

Il miner camuffato da Microsoft Edge è al centro anche del titolo di The Hacker News, la terza fonte, di cui non è stato possibile leggere il testo completo.

MITRE ATT&CK (nostra mappatura dei comportamenti descritti): T1190 Exploit Public-Facing Application, T1505.003 Web Shell, T1059.001 PowerShell, T1543.003 Windows Service, T1036.004 Masquerade Task or Service, T1036.005 Match Legitimate Name or Location, T1496 Resource Hijacking.

Impatto per le aziende europee e italiane

Negli attacchi osservati l’obiettivo era il mining, ma una web shell con privilegi SYSTEM su una console di backup dà all’attaccante molto di più. Da lì passano le policy, lo storage e gli utenti dei backup, spesso di molti clienti dello stesso fornitore. Chi controlla quella console può preparare attacchi più gravi, ransomware compreso, partendo proprio dallo strumento che serve a ripristinare i dati.

Per gli MSP, che con il D.Lgs. 138/2024 rientrano tra i soggetti NIS2, la compromissione di una piattaforma usata per i servizi ai clienti può essere un incidente significativo da notificare allo CSIRT Italia dell’ACN. Va valutato anche l’obbligo di informare i clienti coinvolti. Se i backup contengono dati personali, va considerata la notifica al Garante privacy secondo il GDPR. Nella sanità, dove i backup custodiscono dati clinici, la disponibilità e l’integrità delle copie sono un requisito di continuità del servizio.

Cosa fare subito

1. Inventario: individua tutte le istanze di AhsayCBS, comprese quelle gestite dai tuoi fornitori di backup. Considerale vulnerabili qualunque sia la versione, 10.3.4 compresa.
2. Limita l’accesso all’interfaccia web, come raccomanda Huntress: solo da indirizzi IP fidati o tramite VPN. È la misura principale finché non esce la patch.
3. Cerca segni di compromissione:
   • un servizio MicrosoftEdgeUpdateSvc o altri servizi a nome di Microsoft Edge che avviano eseguibili fuori dalle cartelle di installazione del browser;
   • file msedge.exe o edge.exe in percorsi insoliti, lo script Taskgmr.ps1 e il driver WinRing0x64.sys;
   • file JSP nuovi nella cartella dell’applicazione AhsayCBS e receiver di replica che non hai configurato;
   • Gestione attività che si chiude da sola, consumo di CPU anomalo, connessioni in uscita verso pool di mining.
4. Usa gli indicatori pubblicati da Huntress: gli IoC e le quattro regole Sigma per il rilevamento.
5. Se trovi indizi: conserva log ed evidenze, isola l’host e gestisci l’evento come incidente. Huntress consiglia un ripristino completo dell’host da un backup sicuro, perché l’attaccante potrebbe aver lasciato altre backdoor. Cambia poi le credenziali amministrative della console.
6. Segui gli aggiornamenti di Ahsay e applica la correzione appena disponibile, controllando poi che la versione installata risulti davvero corretta.

Come aiuta ARXDOME

ARX Expose mostra quali servizi la tua azienda espone su Internet e quali prodotti vi sono riconosciuti: una console AhsayCBS raggiungibile da chiunque emerge tra i rilievi. Sui server Windows, l’agent di ARX Sentry raccoglie log ed eventi di sicurezza, processi, porte e le modifiche ai file nelle cartelle stabilite, come quella dell’applicazione AhsayCBS; gli eventi di esecuzione sospetta e di persistenza vengono raggruppati e messi in evidenza. ARX Shield permette di isolare dalla rete una macchina sospetta, e con ARX Trace gli analisti possono avviare raccolte e ricerche degli indicatori su più server.

Ultimo aggiornamento: 9 ottobre 2026