Falhas críticas em servidores AhsayCBS exploradas em ataques: fabricante exige novas correções de segurança

Duas vulnerabilidades no software de gestão de cópias de segurança Ahsay Cloud Backup Server (AhsayCBS) estão a ser exploradas em ataques informáticos, permitindo a execução de código malicioso em servidores vulneráveis.

A fabricante Ahsay confirmou que as correções inicialmente disponibilizadas não eliminavam completamente as falhas e publicou novos hotfixes em 10 e 12 de outubro de 2026.

A empresa de cibersegurança Huntress documentou ataques iniciados em 7 de outubro, envolvendo a instalação de mecanismos de acesso persistente (webshells) e programas de mineração de criptomoedas.

O comprometimento de servidores responsáveis pela gestão de cópias de segurança representa um risco particularmente relevante, uma vez que estes sistemas são fundamentais para a recuperação de dados e a continuidade operacional das organizações.

FACTO DOCUMENTADO

As vulnerabilidades CVE-2026-105133 e CVE-2026-105134 afetam instalações do AhsayCBS.

A Huntress confirmou exploração em ataques reais desde 7 de outubro de 2026.

A Ahsay reconheceu que as correções anteriores eram insuficientes e disponibilizou os hotfixes 10.3.4.45 e 9.15.2.70.

A fabricante publicou orientações adicionais de investigação e recuperação em 13 de outubro.

Duas vulnerabilidades utilizadas em conjunto

Os ataques exploram duas falhas de segurança identificadas no AhsayCBS.

A primeira, CVE-2026-105133, está relacionada com deficiências nos mecanismos de autenticação.

A segunda, CVE-2026-105134, permite a execução de comandos no servidor através de componentes utilizados na gestão de replicação de cópias de segurança.

Segundo a investigação da Huntress, os atacantes conseguiram combinar as duas vulnerabilidades para ultrapassar mecanismos de autenticação e executar código nos sistemas afetados.

Em servidores Windows, a exploração poderá permitir a execução de comandos com privilégios elevados, incluindo os associados à conta SYSTEM.

Este nível de acesso poderá facilitar a instalação de programas maliciosos, a alteração de configurações e a manutenção de acessos não autorizados.

Ataques confirmados desde 7 de outubro

A Huntress identificou atividade de exploração a partir de 7 de outubro de 2026, às 23h20 UTC.

Até 8 de outubro, a empresa tinha identificado cinco organizações visadas através destas vulnerabilidades.

Nos incidentes analisados, os atacantes instalaram diferentes componentes maliciosos, incluindo webshells e o programa de mineração de criptomoedas XMRig.

Em alguns casos, o software malicioso foi apresentado com nomes semelhantes aos utilizados pelo navegador Microsoft Edge, numa tentativa de dificultar a sua identificação.

A investigação identificou também mecanismos destinados a manter os programas maliciosos ativos e a reduzir a sua visibilidade durante a análise dos sistemas.

A utilização de servidores de cópias de segurança como ponto de entrada é particularmente preocupante porque estes equipamentos podem possuir permissões de acesso a dados e sistemas de várias organizações.

Fabricante reconhece insuficiência das primeiras correções

A Ahsay tinha inicialmente indicado que determinadas versões corrigidas protegiam os sistemas contra as vulnerabilidades.

Contudo, investigações posteriores demonstraram que as falhas não estavam completamente resolvidas.

Em 12 de outubro, a fabricante confirmou que as versões 9.15.2.59 e 10.3.4.0 não eliminavam integralmente as vulnerabilidades.

A empresa recomendou a instalação urgente de novos hotfixes.

Em 13 de outubro, publicou uma atualização adicional, confirmando as versões de correção e disponibilizando orientações para investigar possíveis comprometimentos anteriores.

Esta evolução é particularmente importante: a presença de uma atualização anterior não garante que o servidor esteja protegido.

Versões corrigidas e medidas necessárias

As organizações que utilizam AhsayCBS devem confirmar a versão instalada e seguir as instruções oficiais da fabricante.

Os hotfixes são disponibilizados através dos canais oficiais da Ahsay, incluindo o portal de parceiros.

Após a aplicação, a fabricante recomenda o reinício do servidor.

A Huntress confirmou independentemente que o hotfix 10.3.4.45 mitiga o mecanismo inicial de exploração observado nos ataques.

As organizações devem igualmente restringir o acesso às interfaces de administração, permitindo ligações apenas a endereços autorizados ou através de VPN.

Atualizar não elimina um comprometimento anterior

Uma das principais preocupações identificadas pela fabricante é a possibilidade de os atacantes terem comprometido servidores antes da instalação das correções.

Nestes casos, a atualização do software poderá impedir novas explorações, mas não remove necessariamente os mecanismos de acesso persistente já instalados.

A Ahsay recomenda que as organizações com indícios de comprometimento considerem a reconstrução do servidor a partir de um ambiente limpo e a recuperação de configurações anteriores ao incidente.

As orientações oficiais incluem:

1. Investigar os registos do servidor e identificar possíveis acessos não autorizados.
2. Verificar a existência de ficheiros suspeitos, webshells e serviços desconhecidos.
3. Preservar os elementos necessários à investigação do incidente.
4. Quando existir comprometimento confirmado, reinstalar o sistema operativo a partir de fontes confiáveis.
5. Instalar uma versão suportada do AhsayCBS e aplicar o hotfix correspondente.
6. Recuperar configurações a partir de uma cópia anterior ao comprometimento.
7. Validar a integridade dos sistemas e das cópias de segurança antes de retomar a operação normal.

A reconstrução deverá ser planeada pelas equipas responsáveis, de modo a preservar os dados necessários à recuperação e evitar a reintrodução de componentes comprometidos.

AVALIAÇÃO ANALÍTICA

A exploração de vulnerabilidades em servidores de cópias de segurança constitui uma ameaça relevante para a resiliência digital das organizações.

O risco não se limita à instalação de programas de mineração: o acesso privilegiado obtido pelos atacantes poderá permitir outras ações maliciosas.

A confirmação de que as primeiras correções eram insuficientes torna prioritária a verificação das versões efetivamente instaladas e a investigação de possíveis comprometimentos anteriores.

Relevância para Portugal

O AhsayCBS é utilizado na administração centralizada de serviços de cópias de segurança, incluindo ambientes geridos por prestadores de serviços informáticos.

Uma organização portuguesa que utilize uma instalação vulnerável poderá estar exposta aos mesmos mecanismos de exploração observados internacionalmente.

O risco poderá ser especialmente relevante para prestadores de serviços que administram cópias de segurança de vários clientes.

O comprometimento destes servidores pode afetar a confidencialidade dos dados, a disponibilidade dos sistemas e a capacidade de recuperação após um incidente.

Contudo, não foi identificada confirmação de uma campanha especificamente dirigida a Portugal ou de uma perturbação generalizada dos serviços nacionais associada a estas vulnerabilidades.

Este Alerta destina-se às organizações que utilizam o produto afetado, não aos utilizadores domésticos em geral.

Ação recomendada: Aplicar os hotfixes oficiais, restringir acessos administrativos e investigar possíveis comprometimentos

Indicadores sob monitorização

O PREPPERS.PT continuará a acompanhar as comunicações da Ahsay, as investigações de empresas especializadas e eventuais avisos do Centro Nacional de Cibersegurança.

Serão especialmente relevantes novas versões de correção, confirmação de comprometimentos em Portugal e incidentes que afetem a disponibilidade ou integridade de serviços de cópias de segurança.

INCERTEZA / LIMITAÇÃO

A investigação pública não permite determinar o número total de servidores comprometidos.

Os cinco casos inicialmente identificados pela Huntress não representam necessariamente a totalidade dos ataques.

A presença de uma versão vulnerável não constitui prova de comprometimento, mas exige verificação e correção.

As instruções técnicas devem ser confirmadas nos comunicados oficiais da fabricante, que poderão receber atualizações.

AVALIAÇÃO PREPPERS.PT

A exploração confirmada das vulnerabilidades CVE-2026-105133 e CVE-2026-105134 representa uma ameaça operacional relevante para organizações que utilizam o AhsayCBS.

A insuficiência das primeiras correções e a possibilidade de persistência de acessos maliciosos reforçam a necessidade de uma resposta que inclua atualização, investigação e, quando necessário, reconstrução segura dos servidores.

O PREPPERS.PT recomenda a verificação imediata das versões instaladas, a aplicação dos hotfixes oficiais e a investigação de possíveis comprometimentos anteriores.

Não foram identificados elementos suficientes para justificar uma alteração do nível de risco nacional.

Nível de Risco — Cibersegurança: manter classificação actualmente em vigor

Tendência: Exploração confirmada, com correções disponíveis e necessidade de resposta técnica prioritária.

Risco Actual nacional: 2/5 · MODERADO — sem alteração recomendada.

FONTES

Ahsay — Comunicado de segurança atualizado, 12 de outubro de 2026

Ahsay — Estado das vulnerabilidades e procedimentos de recuperação, 13 de outubro de 2026

Huntress — Investigação da exploração das vulnerabilidades AhsayCBS

CISA — Catálogo de vulnerabilidades exploradas

Centro Nacional de Cibersegurança — Portal oficial

PREPPERS.PT — Metodologia de Risco