AhsayCBS sotto attacco: da un booleano Java a RCE come SYSTEM

Due vulnerabilità in AhsayCBS permettono RCE come SYSTEM/root tramite un flag JSON controllabile dall'attaccante. Exploitation attiva dal 7 ottobre con criptominer.

Il 7 ottobre 2026 alle 23:20:15 UTC i sensori Huntress hanno rilevato la prima exploitation attiva contro AhsayCBS, backup server on-premises usato da Managed Service Provider per proteggere dati enterprise. L'attacco concatenava due vulnerabilità, CVE-2026-105133 e CVE-2026-105134, in una catena che parte da un authentication bypass banale — un flag JSON chiamato FromServlet — e termina con esecuzione remota di codice come LocalSystem su Windows, root su Linux. Entro pochi giorni cinque organizzazioni erano compromesse, con webshell, criptominer XMRig mascherato come Microsoft Edge e script PowerShell AI-assisted a bordo.

Punti chiave

Un flag booleano FromServlet nel corpo JSON delle richieste API bypassa completamente il controllo credenziali di AhsayCBS, permettendo di creare amministratori arbitrari.
Il path traversal nel servizio Replication Receiver consente di scrivere file JSP nella web root Tomcat, trasformando l'accesso autenticato in esecuzione remota con privilegi massimi.
Huntress ha confermato exploitation in-the-wild dal 7 ottobre 2026, con 5 organizzazioni targettate e post-exploitation che include criptominer e script di persistenza.
Le patch precedenti (v9.15.2.59 e v10.3.4.0) erano insufficienti; Ahsay ha rilasciato hotfix correttivi il 12 ottobre 2026.

Il meccanismo: quando un flag di "fiducia interna" diventa backdoor

L'analisi tecnica di Horizon3.ai, basata sul reverse engineering del codice Java/Struts di AhsayCBS, ha isolato il difetto progettuale alla radice del bypass. Nel metodo JSONApi.execute(), la logica di autenticazione si appoggia su tre variabili booleane: b, equals2 ed equals. Quest'ultima è letta direttamente dal corpo JSON della richiesta come valore del campo FromServlet. Se equals è true, il metodo checkSysPwd() — il controllo effettivo delle credenziali — non viene mai invocato.

Come documenta Horizon3.ai: "a request that simply includes FromServlet':'Y sets equals to true, and the credential check is never reached". L'attaccante non ha bisogno di rubare password, sessioni o token: basta aggiungere un campo JSON a una richiesta HTTP normale per essere trattati come chiamata interna trusted.

Una volta dentro, l'endpoint AddSysUser permette di creare un amministratore completo. Il codice decompilato mostra che doAction estrae LoginName, Password e Role dal JSON e costruisce il nuovo utente senza verificare chi stia effettivamente chiamando. Nessun controllo di sessione, nessun privilegio pregresso richiesto.

Da admin arbitrario a webshell SYSTEM: il traversal che bypassa la denylist

Con credenziali amministrative in mano, l'attaccante configura un Replication Receiver con SystemHome manipolato. Qui interviene CVE-2026-105134: il servizio FileService consente scrittura di file con percorso controllato dall'utente, ma la protezione si rivela insufficiente.

Horizon3.ai ha mappato la logica difettiva nel dettaglio. La denylist di FileList.a() blocca solo due caratteri — % e : — lasciando intatto il pattern ../. Il metodo getReplicatedPath() concatena il valore UserHome senza riapplicare il filtro com.ahsay.c usato invece al momento della creazione del receiver. Il risultato: un UserHome come ../../webapps/rps risolve in C:\AhsayCBS\webapps\rps su Windows, permettendo di scrivere una webshell JSP direttamente nella root di Tomcat.

Il servizio AhsayCBS gira come LocalSystem su Windows e come root su Linux. Horizon3.ai conferma: "On a Windows receiver, the AhsayCBS service runs as LocalSystem, so the webshell executes as SYSTEM. On Linux it runs as root". La compromissione non è un accesso limitato: è controllo totale della macchina e di ogni backup in essa contenuto.

L'exploitation in-the-wild: cinque vittime, miner e AI-assisted scripts

Huntress ha osservato l'attacco in campo prima ancora che Ahsay rilasciasse patch efficaci. "Starting October 7 (23:20:15 UTC), Huntress began seeing threat actors exploiting the flaws to perform remote code execution on impacted hosts", riporta l'azienda di threat detection. Il numero di organizzazioni targettate con questa catena specifica è di cinque.

"threat actors are conducting reconnaissance, dropping webshells, planting XMRig cryptominers masquerading as Microsoft Edge, and more. They also dropped what appears to be an AI-assisted PowerShell script" — Huntress report

Il payload post-exploitation è eterogeneo e indica operatori attivi, non solo opportunisti. Oltre alla webshell per accesso persistente, troviamo XMRig camuffato come eseguibile Microsoft Edge — classico trucco di mascheramento — e uno script PowerShell che, secondo Huntress, mostra caratteristiche di generazione assistita da intelligenza artificiale, con funzionalità di monitoraggio e terminazione del Task Manager per nascondere l'attività del miner.

Cosa fare adesso

Verificare la versione installata: le release v10.3.4.45 (per v10) e v9.15.2.70 (per v7-v9), pubblicate da Ahsay il 12 ottobre 2026, sono le prime a mitigare efficacemente il bypass auth. Le patch precedenti v9.15.2.59 e v10.3.4.0 erano insufficienti, come ammesso dal vendor.
Pianificare il riavvio del server: l'hotfix richiede riavvio per essere attivo, con finestra di manutenzione che espone temporaneamente a rischio noto.
Ispezire i log per richieste API con campo FromServlet presente prima dell'autenticazione, e verificare la presenza di receiver replication con SystemHome o UserHome anomali.
Cercare indicatori di compromissione noti: file JSP non autorizzati in webapps/rps, processi mascherati come Microsoft Edge in esecuzione da percorsi non standard, script PowerShell con comportamenti di terminazione processo.

Il contesto: perché un backup server è un bersaglio strategico

AhsayCBS non è un prodotto marginale. È un backup server on-premises progettato per MSP, con supporto a Microsoft 365, Google Workspace, macchine virtuali e database. La sua funzione — conservare copie di dati critici — lo rende intrinsecamente sensibile: un server compromesso espone non un singolo tenant, ma l'intero portfolio clienti del provider. Il fatto che la compromissione avvenga come SYSTEM/root significa che l'attaccante può non solo esfiltrare backup, ma potenzialmente distruggerli o inocularvi ransomware, vanificando la stessa ragion d'essere del prodotto.

L'angolo che emerge dalla lettura di Horizon3.ai è quello di una sicurezza ridotta a un singolo booleano. Il flag FromServlet era chiaramente pensato per distinguere chiamate interne — servlet-to-servlet — da chiamate esterne. Ma in un framework Struts esposto su HTTP, qualsiasi client può impostare quel campo. La trust boundary violation è totale: il server si fida di un'affermazione non autenticata, inviata dall'attaccante, per saltare l'autenticazione. È il tipo di difetto che si incontra in codebase legacy cresciuti per anni senza revisione architetturale della sicurezza.

Sul fronte della attribuzione, il dossier non offre elementi: non emergono sovrapposizioni infrastrutturali che colleghino gli operatori a un gruppo threat actor noto allo stato attuale. La natura AI-assisted dello script PowerShell è un'annotazione di Huntress, non una prova di orchestrazione automatizzata su larga scala. Il CVSS ufficiale non è disponibile nelle fonti consultate.

Resta il dato che un prodotto usato per la resilienza digitale di migliaia di organizzazioni si è rivelato vulnerabile a un attacco concettualmente elementare: un campo JSON settato a Y. La complessità della post-exploitation — miner mascherati, script AI-assisted, webshell — mostra però che attori sofisticati stanno monitorando attivamente questa classe di target, pronti a sfruttare la più piccola falla nella supply chain del backup.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti

Ricevi DeafLetter