AhsayCBS lanza hotfixes para vulnerabilidades de omisión de autenticación activamente explotadas

Ahsay Backup, con sede en Singapur, ha lanzado actualizaciones de seguridad de emergencia para su software de copia de seguridad AhsayCBS tras descubrir que los parches anteriores no resolvían por completo dos vulnerabilidades críticas. Los fallos, identificados como CVE-2026-105133 y CVE-2026-105134, están siendo explotados activamente por actores de amenazas para obtener acceso no autorizado a los sistemas. Este desarrollo se produce después de que las correcciones iniciales publicadas en agosto de 2026 resultaran incompletas, dejando muchos entornos autoalojados expuestos a ataques de ejecución remota de código.

Qué ocurrió

Los problemas de seguridad implican una cadena de dos vulnerabilidades que permiten a los atacantes eludir completamente los mecanismos de autenticación. Cuando se combinan, estos fallos habilitan la ejecución remota de código sin autenticación, otorgando a los adversarios control total sobre el servidor afectado. La firma de seguridad Huntress informó a principios de este mes que observó actores maliciosos aprovechando esta cadena de ataque específica para desplegar web shells y mineros de criptomonedas XMRig en sistemas comprometidos. Las web shells proporcionan acceso persistente tipo puerta trasera, mientras que el malware de cryptojacking secuestra los recursos del servidor para minar moneda digital, lo que a menudo conduce a una degradación del rendimiento y un aumento de los costos operativos.

Aunque Ahsay había publicado previamente las versiones 9.15.2.59 y 10.3.4.0 en agosto de 2026 con la intención de corregir estos problemas, la empresa ha confirmado ahora que dichas actualizaciones no cerraron por completo los agujeros de seguridad. En consecuencia, se han emitido nuevos hotfixes: AhsayCBS v10.3.4.45 y AhsayCBS v9.15.2.70. Huntress verificó de forma independiente que el nuevo hotfix v10.3.4.45 mitiga con éxito el punto de entrada inicial de la cadena de ataque, que permanecía vulnerable en las versiones parcheadas anteriores. Ahsay insta encarecidamente a los usuarios a aplicar estos hotfixes inmediatamente y reiniciar sus servidores para garantizar que los cambios surtan efecto.

Detalles clave

• Vulnerabilidades: CVE-2026-105133 y CVE-2026-105134 permiten la omisión de autenticación y la ejecución arbitraria de comandos.
• Explotación activa: Los actores de amenazas están utilizando los fallos para desplegar web shells y mineros de criptomonedas XMRig.
• Correcciones previas incompletas: Los parches publicados en agosto de 2026 (versiones 9.15.2.59 y 10.3.4.0) no resolvieron por completo los problemas.
• Nuevos hotfixes: Los usuarios deben actualizar a AhsayCBS v10.3.4.45 o v9.15.2.70 para abordar las vulnerabilidades.
• Reinicio obligatorio: Ahsay indica que los servidores deben reiniciarse después de aplicar el hotfix para que las medidas de seguridad se activen.
• Acción regulatoria: CISA añadió estos fallos a su catálogo de Vulnerabilidades Explotadas Conocidas, estableciendo un plazo del 17 de octubre de 2026 para las agencias federales.

Contexto

La ejecución remota de código (RCE) es uno de los tipos más graves de vulnerabilidades de seguridad porque permite a un atacante ejecutar cualquier comando en un sistema objetivo sin necesidad de credenciales válidas. En este caso, los atacantes encadenan dos fallos separados para evitar el proceso normal de inicio de sesión. Una vez dentro, instalan web shells, que son scripts maliciosos que proporcionan una interfaz persistente para controlar el servidor de forma remota. Esta persistencia les permite regresar más tarde incluso si la vulnerabilidad inicial es parcheada, a menos que la propia web shell sea descubierta y eliminada.

El malware de minería de criptomonedas, como XMRig, es una carga útil común en este tipo de ataques porque monetiza la compromiso inmediatamente utilizando la potencia de cálculo de la víctima. Para los equipos de TI que gestionan infraestructuras autoalojadas, esto resulta en picos inesperados en el uso de CPU y costos de electricidad. La participación de la Agencia de Seguridad Cibernética e Infraestructura de EE. UU. (CISA) destaca la gravedad de la amenaza, ya que la inclusión en el catálogo de Vulnerabilidades Explotadas Conocidas (KEV) señala que la explotación activa es generalizada y peligrosa.

Por qué importa

Para los equipos que ejecutan su propia infraestructura de copia de seguridad, este incidente subraya el riesgo de depender de soluciones de un solo proveedor sin una verificación independiente rigurosa de los parches de seguridad. El hecho de que las actualizaciones de agosto fueran consideradas suficientes por muchos usuarios, solo para revelarse como incompletas semanas después, crea una falsa sensación de seguridad. El autoalojamiento requiere un alto grado de vigilancia porque usted es responsable de toda la pila tecnológica, incluyendo el parcheo oportuno y la verificación de que las actualizaciones realmente resuelven los problemas reportados. Retrasar la acción basándose en la suposición de que un parche anterior funcionó podría dejar sus datos expuestos a exfiltración o cifrado por operadores de ransomware que a menudo utilizan métodos similares de acceso inicial.

Además, el requisito de reiniciar los servidores después de aplicar el hotfix introduce complejidad operativa. En muchos entornos de producción, programar tiempos de inactividad para reinicios requiere una planificación cuidadosa para evitar interrupciones del servicio. Sin embargo, dado que CISA ha establecido un plazo estricto para las agencias federales y la explotación activa continúa, el riesgo de retrasar el reinicio supera la inconveniencia. Los equipos deben equilibrar la disponibilidad con la seguridad, reconociendo que un servidor de copia de seguridad sin parchear o parcheado incorrectamente es una responsabilidad crítica.

Qué puede hacer

• Verifique su versión: Identifique inmediatamente si su entorno está ejecutando versiones de AhsayCBS anteriores a 9.15.2.70 o 10.3.4.45.
• Aplique el hotfix: Descargue e instale las versiones específicas de hotfix (v9.15.2.70 o v10.3.4.45) desde el portal oficial de Ahsay.
• Reinicie los servidores: Programe y ejecute un reinicio del servidor inmediatamente después del parcheo para asegurar que la mitigación esté activa.
• Escanee indicadores: Utilice herramientas de detección de endpoints para buscar signos de web shells o procesos XMRig, como picos inusuales de CPU o scripts desconocidos en directorios web.
• Revise los registros de acceso: Examine los registros de autenticación y acceso en busca de actividad sospechosa que data de agosto de 2026, cuando se publicaron los parches iniciales incompletos.
• Monitoree CISA KEV: Manténgase al tanto del catálogo de Vulnerabilidades Explotadas Conocidas para futuros plazos obligatorios de parcheo y amenazas activas.