AhsayCBS e PAN-OS sotto attacco: web shell, miner e RCE root

🛡️ Executive Summary

• AhsayCBS viene sfruttato concatenando CVE-2026-105133 e CVE-2026-105134 per ottenere esecuzione remota senza autenticazione, web shell e cryptomining.
• Le precedenti patch Ahsay erano incomplete: i fix corretti sono ora 10.3.4.45 e 9.15.2.70, mentre i sistemi compromessi richiedono anche attività di incident response.
• Palo Alto Networks corregge CVE-2026-0322, RCE autenticata già sfruttata che permette di raggiungere privilegi root dalla management interface di PAN-OS.

Gli attaccanti stanno sfruttando contemporaneamente due superfici che le aziende non possono permettersi di lasciare esposte: il server che governa i backup e il firewall che controlla il perimetro. Ahsay ha pubblicato nuovi hotfix per AhsayCBS dopo avere riconosciuto che le correzioni precedenti non chiudevano completamente CVE-2026-105133 e CVE-2026-105134, già concatenate in attacchi reali per ottenere esecuzione di codice senza autenticazione, installare web shell e avviare XMRig. Palo Alto Networks ha invece corretto CVE-2026-0322, una RCE autenticata nella management interface di PAN-OS che può portare direttamente a codice arbitrario con privilegi root e che il vendor dichiara già sfruttata, seppure in misura molto limitata. Due incidenti diversi, con una lezione comune: quando il piano di gestione è raggiungibile dalla rete, una patch incompleta o un account amministrativo compromesso possono trasformare l’infrastruttura che dovrebbe proteggere l’azienda nel primo punto di controllo dell’attaccante.

AhsayCBS passa dal bypass di autenticazione alla web shell come SYSTEM

La catena AhsayCBS combina due vulnerabilità complementari. CVE-2026-105133 riguarda un controllo di autenticazione improprio nella funzione checkSysPwd(), mentre CVE-2026-105134 interessa il componente Replication Receiver e permette command injection. Nella ricostruzione tecnica degli attacchi osservati da Huntress, lo sfruttamento viene rilevato a partire dal 7 ottobre: CVE-2026-105133 viene utilizzata per superare l’autenticazione e la seconda falla porta all’esecuzione di comandi, fino alla creazione di una JSP web shell nella directory servita dall’applicazione. Il risultato è particolarmente grave perché AhsayCBS è una console centralizzata utilizzata soprattutto da MSP e system integrator per amministrare utenti, policy e operazioni di backup: compromettere il server significa entrare in un componente che, per funzione, concentra accessi e fiducia operativa.

Leggi anche: Qilin sfrutta PAN-OS mentre Zimbra corregge nove falle e l’AI accelera gli N-day

Le prime patch non bastavano e gli attaccanti hanno già installato XMRig

Il dettaglio più critico è la storia delle correzioni. Ahsay ha confermato ufficialmente che i precedenti fix non eliminavano completamente le due vulnerabilità: le versioni 9.15.2.59 e 10.3.4.0 distribuite in precedenza non erano sufficienti. Il vendor indica ora come hotfix corretti 10.3.4.45 per la linea 10 e 9.15.2.70 per la linea 9; chi utilizza AhsayCBS 7 o 8 deve prima migrare alla 9.15.0.0 e successivamente applicare l’hotfix. Huntress ha verificato indipendentemente che 10.3.4.45 blocca il punto d’ingresso della catena osservata. Nel frattempo gli attaccanti non si sono limitati a dimostrare l’accesso: hanno distribuito web shell, effettuato ricognizione e installato XMRig rinominato edge.exe per imitare Microsoft Edge, creando anche un servizio MicrosoftEdgeUpdateSvc pensato per confondersi con il normale updater. In almeno un incidente è comparso WinRing0x64.sys, driver legittimo ma vulnerabile utilizzato per ottenere accesso hardware a basso livello, mentre uno script PowerShell denominato Taskgmr.ps1 interrompeva il mining quando rilevava Task Manager e lo riattivava dopo la chiusura. Huntress ritiene che lo script mostri indizi di assistenza AI, ma questo elemento resta secondario rispetto alla catena di compromissione documentata.

PAN-OS trasforma un amministratore compromesso in root sul firewall

Il secondo fronte riguarda CVE-2026-0322 in PAN-OS, classificata da Palo Alto Networks con severità High e punteggio 8,6. Secondo l’advisory ufficiale di Palo Alto Networks, la vulnerabilità risiede nella management interface e consente a un attaccante già autenticato, purché possa raggiungere l’interfaccia di gestione, di eseguire codice arbitrario con privilegi root sul firewall. La distinzione è fondamentale: non è un bypass dell’autenticazione come nel caso Ahsay e non permette da sola a un utente anonimo di entrare da Internet. Diventa però estremamente pericolosa quando credenziali amministrative, sessioni o sistemi autorizzati alla gestione sono già sotto controllo, perché elimina la separazione tra accesso alla console e controllo del sistema operativo sottostante. Sono interessati PA-Series, VM-Series e Panorama, mentre Cloud NGFW e Prisma Access non risultano colpiti.

Palo Alto dichiara sfruttamento attivo e chiede di isolare la management interface

Palo Alto Networks afferma di avere osservato uno sfruttamento molto limitato della vulnerabilità contro la management interface e raccomanda di consentire l’accesso esclusivamente da indirizzi interni fidati, preferibilmente attraverso un jump box dedicato. Le release corrette comprendono PAN-OS 12.2.4, 12.1.10-h2 e 11.1.16-h3, oltre agli hotfix previsti per i diversi maintenance branch; la linea 11.2 converge sulla 11.2.16 e la 10.2 dispone di correzioni fino alla 10.2.18-h12. Gli amministratori devono quindi verificare la matrice esatta del proprio ramo invece di assumere che una generica major release sia protetta. Il precedente è particolarmente delicato perché PAN-OS era già finito al centro di intrusioni reali nel 2026: CVE-2026-0257 aveva già esposto specifiche configurazioni GlobalProtect e successivamente gli affiliati Qilin avevano trasformato il problema sul perimetro in accesso al dominio Windows.

Backup e firewall mostrano lo stesso errore: esporre il piano di controllo

AhsayCBS e PAN-OS non condividono la stessa vulnerabilità né lo stesso prerequisito di attacco. Nel primo caso la catena osservata consente esecuzione remota senza autenticazione; nel secondo serve un account amministrativo autenticato. Condividono però la posizione architetturale: sono sistemi di controllo. Un server di backup decide quali dati proteggere e dove conservarli; un firewall decide chi entra, chi esce e quali segmenti possono comunicare. Per questo la superficie di management deve essere trattata come un asset più sensibile dei servizi che amministra. Pubblicarla direttamente su Internet, consentire accessi amministrativi troppo ampi o rinviare hotfix già associati a sfruttamento reale significa consegnare all’attaccante un punto dal quale le normali difese possono essere aggirate, modificate o semplicemente utilizzate contro l’organizzazione.

Continua con:
Zero-day PAN-OS: attacchi attivi e misure di mitigazione
Il cloud diventa campo di battaglia per gli attori del cryptomining

Patchare non basta se il sistema è già stato raggiunto

Per AhsayCBS la priorità è applicare i nuovi hotfix, limitare l’interfaccia a IP fidati o VPN e cercare indicatori di compromissione: processi anomali figli di cbssvcX64.exe o cbssvcX86.exe, JSP inattesi, edge.exe o msedge.exe nelle directory temporanee, il servizio MicrosoftEdgeUpdateSvc, Taskgmr.ps1 e download di WinRing0x64.sys. In presenza di indicatori Huntress suggerisce una re-image completa da backup affidabile, perché una web shell rimossa non esclude persistenze secondarie. Per PAN-OS occorre installare la release corretta del proprio ramo, restringere la management interface a una rete amministrativa dedicata e verificare account, sessioni e accessi anomali. La differenza tra i due casi non cambia la priorità operativa: quando una vulnerabilità è già sfruttata, il lavoro non finisce con l’installazione della patch. Bisogna stabilire se l’attaccante sia arrivato prima.