AhsayCBS explorado: o que fazer no servidor que guarda os backups dos clientes

Por Equipe Técnica HD Doctor

Resposta direta

Se a sua empresa ou o seu provedor de backup opera um servidor AhsayCBS, confirme a versão agora. As falhas CVE-2026-105133 e CVE-2026-105134 são exploradas desde 7 de outubro, e a Ahsay admitiu que os patches v10.3.4.0 e v9.15.2.59 não as corrigiam por completo; a correção está nos hotfixes v10.3.4.45 e v9.15.2.70. O hotfix fecha a porta de entrada, mas, para servidor com sinais de invasão, a fabricante recomenda reconstrução completa: procure os indícios publicados e, se aparecerem, preserve evidências e o armazenamento dos backups antes de reconstruir.

O que aconteceu com o AhsayCBS e por que o primeiro patch não bastou

O AhsayCBS é o software de servidor da plataforma de backup da Ahsay: é a máquina que recebe e guarda os backups enviados pelos computadores e servidores atendidos. Segundo a BleepingComputer (09/10/2026), ele é usado tipicamente por provedores de serviços gerenciados (MSPs) e integradores. Em 08/10/2026, a Huntress relatou ataques iniciados em 07/10/2026, às 23h20 UTC, contra cinco organizações. A cadeia junta duas falhas: CVE-2026-105133, desvio de autenticação na função checkSysPwd, e CVE-2026-105134, injeção de comandos no componente Replication Receiver (endpoint /rps/api/json/UpdateReceivers.do). Nos casos analisados, o código do atacante rodou com privilégio SYSTEM e instalou webshells JSP e um minerador XMRig disfarçado de edge.exe. Fonte: https://www.huntress.com/blog/ahsaycbs-flaws-exploit. A correção veio em etapas. A Ahsay começou a receber relatos de acesso não autorizado em 09/10, publicou o hotfix v10.3.4.45 em 10/10 e o v9.15.2.70 em 12/10. No comunicado de 12/10, a fabricante reconhece que os patches anteriores, v10.3.4.0 e v9.15.2.59, não trataram as falhas por completo, e pede reinício do servidor após o hotfix. Na atualização de 13/10, orienta quem está em v7 ou v8 a subir para v9.15.0.0 antes de aplicar o v9.15.2.70. A CISA incluiu as duas falhas no catálogo KEV em 14/10/2026, com prazo de correção até 17/10 para agências federais americanas. Fontes: https://www.ahsay.com/en/company/announcements/patch-cve-105133-105134-update e https://www.ahsay.com/en/company/announcements/ahsaycbs-vulnerability-status-update. Depois disso, a Ahsay lançou atualizações de reforço de segurança: em 27/10, o hotfix v9.15.2.78 para a v9 e o v10.3.4.55, ajuste do hotfix da v10 que corrige um problema na atualização de chave de licença; em 03/11, a versão v10.3.6.1, com reforço de segurança e melhorias na autenticação do CBS. Esses comunicados não citam os dois CVEs. Trate os hotfixes de outubro como patamar mínimo e confirme com a Ahsay ou com o distribuidor qual build aplicar hoje na sua linha. A atualização de 13/10 lista os indícios de invasão: pastas estranhas na raiz dos discos, como ahsay_ts, ahsay_t8, ahsay_t9, ahsay_t20, ahsay_t21, srv, user e opt; arquivos .jsp com nomes aleatórios e pastas com letras e números na pasta webapps do AhsayCBS; receptores de replicação (RPS) e contas de administrador que ninguém cadastrou. A Huntress acrescenta processos filhos de cbssvcX64.exe, um serviço chamado MicrosoftEdgeUpdateSvc e os arquivos edge.exe, msedge.exe, config.json, Taskgmr.ps1 e WinRing0x64.sys na pasta temporária. Havendo indício, a Ahsay recomenda reconstruir o servidor: reinstalar Windows ou Linux, instalar o AhsayCBS na versão base com o hotfix correspondente (v10.3.4.0 com v10.3.4.45, ou v9.15.0.0 com v9.15.2.70) e restaurar a configuração pelo Auto Save a partir de uma versão de pelo menos um dia antes da data de qualquer pasta ou arquivo suspeito. Para os dados, o ponto crítico é o que fica guardado nessa máquina. Quem executa código como SYSTEM no servidor que recebe os backups tem, em tese, alcance sobre os conjuntos gravados nele. As fontes não relatam exclusão, criptografia ou cópia de backups nesses casos; o que se documentou foi webshell e mineração. Ainda assim, a reconstrução precisa ser planejada: se o armazenamento dos backups estiver nos mesmos discos do sistema, uma reinstalação apressada pode sobrescrevê-lo. Antes de reconstruir, localize onde estão os dados dos usuários, preserve uma imagem do disco do sistema para a investigação e mantenha os volumes de backup fora da formatação. Depois de reconstruir, teste restaurações de uma amostra de cada cliente em ambiente separado e confirme que existe uma cópia fora desse servidor. Se volumes, arrays RAID ou arquivos de backup ficarem ilegíveis e não houver outra cópia válida, a HD Doctor pode avaliar a recuperação a partir do material preservado. Essa avaliação não substitui a resposta a incidentes nem a orientação da Ahsay, e não garante recuperar conteúdo perdido.

Quatro erros que agravam o incidente

1.
Dar o caso por encerrado com a v10.3.4.0 ou a v9.15.2.59. A própria Ahsay informou que essas versões não corrigiam as falhas por completo. Confira o build instalado e aplique o hotfix correspondente; um servidor que já foi invadido continua exigindo investigação mesmo depois da correção.
2.
Formatar o servidor antes de preservar evidências e dados. Reinstalar às pressas apaga a cronologia da invasão e, se os backups estiverem nos mesmos discos do sistema, pode destruir a cópia dos clientes. Documente os indícios, faça imagem do disco do sistema e separe os volumes de dados antes de reconstruir.
3.
Restaurar a configuração mais recente do Auto Save. Uma configuração salva depois da invasão pode trazer de volta contas de administrador ou receptores de replicação criados pelo atacante. A Ahsay orienta usar uma versão de pelo menos um dia antes do primeiro arquivo ou pasta suspeito.
4.
Deixar a administração aberta para qualquer endereço. A Huntress recomenda restringir o acesso web à interface de gerenciamento a IPs confiáveis ou exigir VPN. Antes de bloquear, confirme com a Ahsay ou com o distribuidor quais acessos os clientes precisam para continuar enviando backups.

Cinco passos para quem opera um servidor AhsayCBS

Roteiro para o administrador do servidor, o distribuidor e a equipe de segurança. Não teste a exploração no ambiente de produção nem baixe ferramentas de origem desconhecida que prometam verificar a falha.

1
Registre o estado atual e reduza a exposição
Anote a versão instalada, data e hora com fuso, as contas de administrador e os receptores de replicação cadastrados, e guarde cópias dos logs e da lista de arquivos da pasta webapps. A Huntress recomenda limitar o acesso web à administração do AhsayCBS a IPs confiáveis ou exigir VPN.
2
Aplique a correção da sua linha e reinicie
Na v10, o hotfix v10.3.4.45; na v9, o v9.15.2.70. Em v7 ou v8, a Ahsay orienta subir para v9.15.0.0 e então aplicar o v9.15.2.70. Os hotfixes ficam no portal de parceiros. Reinicie o servidor e confirme com a Ahsay ou com o distribuidor se há build mais recente para a sua linha.
3
Procure os indícios publicados
Verifique pastas estranhas na raiz dos discos, arquivos .jsp e pastas desconhecidas em webapps, contas de administrador e receptores RPS não cadastrados, processos filhos de cbssvcX64.exe, o serviço MicrosoftEdgeUpdateSvc e os arquivos citados pela Huntress na pasta temporária. A exploração foi observada a partir de 07/10, mas não descarte datas anteriores.
4
Se houver indício, preserve antes de reconstruir
Faça imagem do disco do sistema para a investigação, localize os volumes onde estão os backups dos usuários e mantenha-os fora da formatação. Depois siga a reconstrução da Ahsay: sistema operacional novo, AhsayCBS corrigido e configuração do Auto Save de pelo menos um dia antes do primeiro indício. Revise contas e senhas administrativas com a equipe de segurança.
5
Teste os backups e mantenha uma cópia fora do servidor
Restaure uma amostra de cada cliente em ambiente separado e confira datas e conteúdo com os responsáveis pelos dados. Confirme que existe uma cópia fora desse servidor, em outro local ou offline. Se arquivos ou volumes de backup estiverem ilegíveis sem outra cópia, preserve os discos antes de novas tentativas.

Perguntas sobre o AhsayCBS e os backups dos clientes

Já apliquei a v10.3.4.0. Estou protegido?

Não. A Ahsay informou em 12/10 que a v10.3.4.0 e a v9.15.2.59 não corrigiam por completo as duas falhas. Para fechá-las, a fabricante indica o hotfix v10.3.4.45 na v10 e o v9.15.2.70 nas linhas 7, 8 e 9, com reinício do servidor; em v7 e v8, primeiro é preciso subir para v9.15.0.0.

O hotfix remove o que o invasor instalou?

As fontes tratam o hotfix como correção das falhas, não como limpeza. Para servidores com indícios de invasão, a Ahsay recomenda reconstrução completa, e a Huntress alerta que o atacante pode ter deixado acessos secundários. Por isso, procure os indícios mesmo depois de aplicar a correção.

Os backups dos meus clientes foram afetados?

As fontes publicadas não relatam exclusão, criptografia ou cópia de conjuntos de backup; os casos descritos envolvem webshells e mineração. Como o invasor obteve privilégio SYSTEM no servidor, a resposta depende da investigação de cada ambiente. Teste restaurações e confira se existe cópia fora desse servidor.

Sou cliente de um provedor que usa Ahsay. O que devo perguntar?

Pergunte qual versão do AhsayCBS está em uso, quando o hotfix foi aplicado, se os indícios publicados foram verificados e se existe cópia dos seus dados fora daquele servidor. Manter também uma cópia sob o seu próprio controle reduz a dependência de um único servidor.

Quando faz sentido pedir recuperação profissional de dados?

Quando volumes, arrays ou arquivos de backup estiverem ilegíveis, uma reinstalação tiver atingido o armazenamento ou a restauração falhar sem outra cópia válida. Preserve os discos e registre o que foi feito. Se o problema é só a vulnerabilidade, sem perda de dados, a prioridade é a Ahsay, o distribuidor e a equipe de segurança.

Os backups do servidor ficaram inacessíveis?

Preserve os discos e informe a versão, os indícios encontrados e o que já foi feito.