Vulnerabilidades críticas no AhsayCBS permitem webshells e mineração de criptoativos

A Huntress, empresa de detecção e resposta gerenciada, identificou uma exploração ativa de duas vulnerabilidades no AhsayCBS, software de backup amplamente usado por MSPs e integradores de sistemas. As falhas, CVE-2026-105133 (bypass de autenticação) e CVE-2026-105134 (execução remota de código, RCE), estão sendo encadeadas por atacantes. O processo começa com o bypass de autenticação para então injetar comandos no sistema operacional.

Após o acesso inicial, os cibercriminosos fazem reconhecimento, instalam webshells JSP e implantam o minerador de criptomoedas XMRig, disfarçado como edge.exe. Para garantir persistência, eles usam um serviço chamado MicrosoftEdgeUpdateSvc, que emprega uma cópia modificada do utilitário legítimo NSSM. Um script PowerShell, possivelmente auxiliado por IA, também é usado para ocultar a atividade de mineração, parando o serviço quando o Gerenciador de Tarefas é aberto.

A situação do AhsayCBS é particularmente alarmante porque as vulnerabilidades CVE-2026-105133 e CVE-2026-105134 foram reportadas como corrigidas a partir da versão 10.3.2. Contudo, a investigação da Huntress revelou que a versão 10.3.4, a mais recente disponível, ainda está vulnerável. Isso significa que as correções prometidas pelo desenvolvedor não foram eficazes, expondo usuários a um risco contínuo apesar das atualizações.

Esta exploração ativa é um golpe sério para a segurança de dados, especialmente para MSPs e integradores que dependem do AhsayCBS para proteger seus clientes. A capacidade de bypass de autenticação e execução remota de código em um software de backup dá aos atacantes controle total sobre dados críticos. A presença de um script auxiliado por IA para evadir detecção mostra uma sofisticação crescente nos ataques, dificultando a resposta das equipes de segurança.

A falha nas correções do AhsayCBS, onde vulnerabilidades persistiram na versão mais recente, demonstra uma lacuna preocupante na gestão de segurança do fornecedor. Administradores precisam urgentemente implementar as recomendações da Huntress, como restringir o acesso à interface de gerenciamento, para mitigar o risco até que uma correção definitiva e eficaz seja liberada.