AhsayCBS: falhas CVE-2026-105133 e 105134 exploradas para webshells e mineração

O que aconteceu

Em 4 de outubro de 2026, o NVD publicou duas vulnerabilidades no AhsayCBS (Cloud Backup Server), o console de gestão do software de backup da Ahsay, muito usado por provedores de serviços gerenciados (MSPs) e integradores: CVE-2026-105133 e CVE-2026-105134. Poucos dias depois, as falhas já estavam sendo exploradas na prática.

Segundo a empresa de segurança Huntress, a exploração começou em 7 de outubro às 23:20 UTC (8 de outubro, 08:20 JST). Até 8 de outubro, a Huntress tinha visto cinco organizações atacadas.

As duas falhas

• CVE-2026-105133 (severidade média): falha de autenticação na função checkSysPwd (ApiStructsAction.java).
• CVE-2026-105134 (crítica): no endpoint /rps/api/json/UpdateReceivers.do do componente Replication Receiver, um desvio de autenticação permite execução remota de código sem autenticação como NT AUTHORITY\SYSTEM.

Os atacantes encadeiam as duas: a primeira para contornar a autenticação, a segunda para executar código. Em seguida, configuram um "receiver" malicioso e gravam um webshell JSP no diretório servido pela aplicação.

O que os atacantes fizeram depois

A Huntress descreve:

• Webshells JSP logo após a invasão;
• downloads via curl e certutil de arquivos hospedados em um bucket do Alibaba Cloud OSS;
• o minerador XMRig renomeado como edge.exe, e uma cópia modificada do NSSM chamada msedge.exe, rodando como serviço falso MicrosoftEdgeUpdateSvc com privilégio SYSTEM;
• um script PowerShell (Taskgmr.ps1), que parece ter sido escrito com ajuda de IA, que pausa a mineração quando o Gerenciador de Tarefas é aberto;
• em um caso, o driver vulnerável WinRing0x64.sys, para dar ao minerador acesso de kernel ao hardware.

A correção ainda é delicada

A Huntress atualizou o relatório em 8 de outubro: a versão 10.3.4 também é vulnerável, ao contrário do que se informou no início. Segundo um alerta da Ahsay de 10 de outubro, a versão 10.3.4.0 não corrigiu tudo, e o fabricante recomenda aplicar o hotfix 10.3.4.45 (distribuído aos parceiros) e reiniciar o servidor. Confira sempre a página oficial antes de agir, porque as instruções podem mudar.

O que fazer agora (checklist)

1. Inventário: descubra se você ou o seu MSP usam AhsayCBS. Muitas PMEs têm backup terceirizado e não sabem qual software está por trás.
2. Restrinja o acesso: o console de gestão não deve ficar aberto para a internet. Libere só IPs confiáveis ou exija VPN.
3. Aplique o hotfix indicado pela Ahsay e reinicie.
4. Procure sinais de invasão: processos filhos inesperados de cbssvcX64.exe, arquivos edge.exe/msedge.exe em pastas Temp, o serviço MicrosoftEdgeUpdateSvc, conexões na porta 8029 e downloads de WinRing0. A Huntress publicou regras Sigma e IOCs.
5. Se achar indícios, reinstale o host a partir de uma imagem confiável: os atacantes podem ter deixado outras portas dos fundos.
6. Teste a restauração: um servidor de backup comprometido põe em risco justamente a sua última linha de defesa contra ransomware.

Por que isso importa para PMEs

Servidores de backup ficam em posição privilegiada: acessam dados de muitos clientes e costumam rodar com permissões altas. Quando o MSP é atingido, todos os clientes dele ficam expostos. Hoje o objetivo foi minerar criptomoeda, mas o mesmo acesso serviria para roubar dados ou apagar backups antes de um ataque de ransomware.

Fontes

• Huntress, "Threat Actors Exploit Critical AhsayCBS Flaws…" (8/10/2026): https://www.huntress.com/blog/ahsaycbs-flaws-exploit
• Ahsay, anúncio sobre o patch: https://www.ahsay.com/en/company/announcements/patch-cve-105133-105134
• BleepingComputer: https://www.bleepingcomputer.com/news/security/unpatched-ahsaycbs-flaws-exploited-to-deploy-webshells-mine-crypto/
• SecurityWeek: https://www.securityweek.com/unpatched-ahsaycbs-vulnerabilities-exploited-in-the-wild/

---

Quer revisar a segurança do seu backup ou do seu MSP? A KGA IT oferece uma consulta gratuita: kga-it.com.