Atacan servidores de respaldo AhsayCBS con dos fallas sin parche
El servidor de respaldos suele ser el equipo al que menos atención se le pone, hasta que hace falta. Esta semana quedó claro que también es un blanco: hay ataques en curso contra AhsayCBS, una plataforma para administrar copias de seguridad.
Lo delicado es que, por ahora, no existe una actualización que cierre el hueco. Toca protegerse con otras medidas.
¿Qué pasó?
AhsayCBS es un programa de la empresa Ahsay que centraliza los respaldos de muchos equipos. Lo usan sobre todo proveedores de servicios administrados, es decir, empresas que llevan el soporte de TI de otros negocios.
El 4 de octubre de 2026 se publicaron dos fallas del producto. La primera, CVE-2026-105133, permite saltarse la autenticación, o sea entrar sin contraseña válida. La segunda, CVE-2026-105134, permite ejecutar comandos en el servidor. Encadenadas, dejan que alguien desde internet tome el control del equipo.
La firma de seguridad Huntress informó que los ataques comenzaron el 7 de octubre y que, hasta el día 8, había visto cinco organizaciones afectadas. Al principio se pensó que la versión 10.3.4, la más reciente, estaba a salvo. Huntress corrigió después: esa versión también es vulnerable.
Según Huntress y BleepingComputer, los atacantes dejan una puerta trasera en el servidor e instalan un programa que mina criptomonedas, disfrazado como si fuera parte de Microsoft Edge. También usan un script que detiene el minero cuando alguien abre el Administrador de tareas, para que no se note el consumo. BleepingComputer pidió comentarios a Ahsay y no había recibido respuesta al publicar su nota.
¿Por qué te importa?
Un servidor de respaldos guarda copias de todo lo importante y, en este caso, tiene acceso a los equipos de muchos clientes. Si alguien lo controla, puede leer esa información, borrarla o usarla como punto de entrada a otras redes.
Esta vez el objetivo fue minar criptomonedas, que es lo menos grave que podía pasar. Pero la misma entrada sirve para ataques más dañinos, y Huntress advierte que puede haber otras puertas traseras escondidas en un equipo ya comprometido.
Aunque no uses AhsayCBS, la lección aplica igual: las consolas de administración de respaldos, de NAS o de cualquier servicio interno no deberían estar abiertas a todo internet.
¿Qué puedes hacer?
- Averigua si tú o tu proveedor de soporte usan AhsayCBS y en qué versión. Hasta la 10.3.4 se considera vulnerable.
- Limita el acceso a la consola de administración: que solo entren direcciones IP de confianza o que se llegue a ella por VPN.
- Busca señales de intrusión: un servicio nuevo con nombre parecido al actualizador de Microsoft Edge, uso alto del procesador o archivos que no reconoces en la carpeta de la aplicación.
- Si encuentras algo, no intentes limpiar a mano. Huntress recomienda restaurar el equipo completo desde una copia confiable.
- Revisa con frecuencia los avisos de Ahsay e instala la corrección en cuanto se publique.
Huntress publicó indicadores y reglas de detección que tu equipo de seguridad o tu proveedor pueden usar para revisar sus servidores.
Sigue leyendo
- Dell corrige una falla crítica en System Update para servidores
- Falla crítica en Jira, Confluence y Bitbucket: actualiza tu servidor
Fuentes
- Huntress: Threat Actors Exploit Critical AhsayCBS Flaws to Drop Webshells and XMRig Cryptominer
- BleepingComputer: Unpatched AhsayCBS flaws exploited to deploy webshells, mine crypto
Imagen de portada: foto de Brett Sayles en Pexels.