A CISA, agência de segurança cibernética dos Estados Unidos, incluiu no seu catálogo KEV, que reúne falhas já exploradas na prática, uma vulnerabilidade no Ahsay AhsayCBS. O identificador dela é CVE-2026-105133, uma sigla usada para catalogar falhas de segurança conhecidas.

Na prática, a falha é de autenticação imprópria: um atacante remoto, de fora da rede, pode burlar o processo de login manipulando um parâmetro aleatório do componente de API, na função checkSysPwd. É como se alguém conseguisse entrar em um prédio sem passar pela portaria, apenas mexendo em uma fechadura por trás. A fonte informa que essa falha pode ser combinada com a CVE-2026-105134.

A CISA definiu como prazo para aplicar as correções o dia 17 de outubro de 2026. A fonte não informa se a falha já foi usada em ataques de ransomware, apenas que essa informação é desconhecida. O fabricante Ahsay publicou um aviso com correções para as duas CVEs.

Quem usa o AhsayCBS deve aplicar as mitigações conforme as instruções do fabricante e seguir as orientações da diretiva BOD 26-04 da CISA, que orienta priorizar atualizações conforme o risco. Cada organização deve avaliar se seus sistemas estão expostos à internet. Se as mitigações não estiverem disponíveis, a CISA recomenda interromper o uso do produto.