Vulcan Atlas
Analisar URL
Blog

Boletim técnico · 14 de outubro de 2026

CVE-2026-105134: quebre a cadeia RCE no AhsayCBS antes do atacante

Um bypass de autenticação na API e uma injeção de comandos no Replication Receiver formam uma cadeia de execução remota sem autenticação no AhsayCBS. As duas falhas estão no CISA KEV e têm PoC público.

PoC público · cadeiaCISA KEV
Prioridade máxima.

A cadeia dispensa autenticação e termina em execução de comandos. Servidores de backup guardam cópias de dados sensíveis e credenciais de outros sistemas — comprometê-los amplia o impacto para toda a organização.

Alcance e impacto

A CVE-2026-105133 é um bypass de autenticação no checkSysPwd da API (CVSS 7,3). A CVE-2026-105134 é uma injeção de comandos no endpoint /rps/api/json/UpdateReceivers.do (CVSS 10,0). Juntas, permitem execução remota sem autenticação.

Os patches iniciais 9.15.2.59 e 10.3.4.0 não resolveram o problema. Atualize para 9.15.2.70 ou 10.3.4.45 e confirme a versão do serviço após a atualização.

Ação imediata

  • Atualize para a versão corrigida e valide a cadeia de backup após a mudança.
  • Restrinja o acesso a /rps/api e ao Replication Receiver a redes e origens necessárias.
  • Revise jobs, destinos de replicação e contas administrativas; remova configurações não reconhecidas.
  • Preserve logs da API, do serviço de backup e do sistema operacional antes da limpeza.

Investigação e recuperação

Investigue chamadas a /rps/api, processos filhos do serviço de backup, novos arquivos executáveis no diretório de instalação e conexões de saída incomuns. Se houver suspeita de comprometimento, isole o servidor, rotacione credenciais de backup e valide a integridade dos conjuntos de dados antes de retomar as cópias.

Fontes