A Agência de Segurança de Infraestrutura e Cibersegurança dos Estados Unidos, a CISA, incluiu no seu catálogo de vulnerabilidades exploradas conhecidas uma falha no software AhsayCBS, da fabricante Ahsay. O catálogo KEV reúne falhas que já são ou podem ser usadas em ataques reais, então a inclusão serve de alerta urgente para quem usa o produto.

A vulnerabilidade, identificada como CVE-2026-105134, é classificada como injeção de comandos. Imagine um formulário em que, em vez de digitar um nome, a pessoa escreve uma ordem que o sistema obedece sem questionar. Nesse caso, um atacante remoto pode manipular um parâmetro do componente Replication Receiver, responsável por replicação de dados, e fazer o sistema operacional executar comandos que ele escolher.

A falha pode ser encadeada com outra, a CVE-2026-105133, o que amplia o risco de um ataque bem-sucedido. A fonte não informa se a falha já foi usada em campanhas de ransomware.

A CISA determinou que as organizações apliquem as mitigações indicadas pela própria Ahsay, seguindo a diretiva BOD 26-04, que orienta a priorização de atualizações conforme o risco. Cada responsável deve avaliar quais ativos estão expostos à internet. Se não houver mitigação disponível, a orientação é deixar de usar o produto. O prazo final para correção é 17 de outubro de 2026, e a fonte também menciona os requisitos de análise forense conhecidos como Forensics Triage.

Na prática, quem utiliza o AhsayCBS deve seguir o comunicado oficial da Ahsay sobre as correções das falhas CVE-2026-105133 e CVE-2026-105134, aplicar as atualizações o quanto antes e manter os sistemas atualizados.