Ahsay publica hotfixes revisados para AhsayCBS tras intrusiones en servidores de backup

Ahsay ha publicado hotfixes revisados para dos fallos de AhsayCBS tras observarse accesos no autorizados a servidores de backup. El riesgo no termina al instalar el parche: Huntress documentó intrusiones desde el 7 de octubre con webshells y minería de criptomonedas, y Ahsay recomienda reconstruir por completo cualquier servidor donde aparezcan señales de compromiso.

Dos vulnerabilidades conectadas en el control del backup

AhsayCBS es la consola que permite administrar operaciones de copia, cuentas y políticas de backup; en muchos entornos de proveedores gestionados, concentra el control de varios clientes. La investigación de Huntress describe una cadena de dos fallos: CVE-2026-105133 permite un bypass de autenticación y CVE-2026-105134 afecta al componente Replication Receiver, que puede acabar ejecutando código en el servidor sin autenticar al atacante.

Huntress observó explotación desde el 7 de octubre y, en su corte del día 8, informó de cinco organizaciones objetivo. Entre las acciones posteriores vio despliegues de webshells, cambios para crear receptores maliciosos y mineros XMRig camuflados como procesos de Microsoft Edge. Es una muestra de incidentes vistos por ese equipo de respuesta, no un recuento global; sí basta para descartar que el riesgo fuera teórico mientras se preparaba una corrección.

Ahsay publicó su aviso después de recibir reportes de acceso no autorizado a entornos de AhsayCBS. Sus anuncios también muestran que la secuencia de parches cambió con nueva evidencia: las versiones anteriores 9.15.2.59 y 10.3.4.0 no corregían por completo ambas vulnerabilidades, por lo que instalar aquellos paquetes no equivale a quedar protegido.

-InfraCrew dice: El servidor que coordina las copias merece el mismo nivel de vigilancia que los datos que intenta salvar.-

Qué versión instalar

Para AhsayCBS 10, el fabricante indica el hotfix 10.3.4.45. En la rama 9, la versión corregida es 9.15.2.70; quienes todavía usan las ramas 7 u 8 deben actualizar primero a 9.15.0.0 y después aplicar ese hotfix. La combinación de versión base y hotfix importa: no basta con comprobar que el panel muestra “v9” o “v10”.

Ahsay pide reiniciar el servidor después de aplicar el hotfix. El acceso a los paquetes se realiza desde el portal de partners, así que los administradores tendrán que coordinar la ventana con quien gestione la instalación y registrar qué versión queda en cada cliente. Huntress había recomendado restringir la interfaz de gestión y buscar señales de compromiso mientras no había parche; como medida de exposición, mantener ese plano administrativo accesible solo desde redes confiables sigue siendo una precaución razonable.

-InfraCrew dice: La actualización no es “v9 listo”; es la versión concreta, su hotfix y el reinicio confirmado.-

Si el servidor ya muestra señales

Ahsay enumera como señales posibles carpetas inesperadas en la raíz de los discos, archivos JSP con nombres aleatorios bajo la carpeta webapps, receptores de replicación que nadie autorizó o cuentas nuevas con privilegios de administrador. Una señal basta para tratar el host como comprometido, según el proveedor; aplicar el hotfix sobre una máquina intervenida no elimina los cambios que el atacante ya haya dejado.

La recomendación de recuperación de Ahsay es una reconstrucción limpia: reinstalar Windows o Linux, instalar AhsayCBS en una versión base admitida y aplicar el hotfix correspondiente, y restaurar una configuración guardada antes del incidente. El fabricante aconseja elegir una copia de Auto Save anterior a la fecha de los archivos sospechosos, idealmente con al menos un día de margen. Esa instrucción se refiere a la configuración del servidor; antes de restaurar, el equipo debe confirmar que el punto elegido no reintroduce cuentas o ajustes modificados por el atacante.

El orden operativo para hoy es identificar cada servidor AhsayCBS, comprobar si conserva los parches incompletos, planificar la actualización y revisar las rutas y cuentas que Ahsay destaca. Si aparece algún indicador, hay que preservar registros y coordinar la recuperación antes de volver a confiar en el nodo. El plano de control del backup también es parte del perímetro: proteger los repositorios sin proteger la consola que administra las copias deja abierta una puerta importante.

-InfraCrew dice: Una copia puede estar intacta y aun así ser difícil de confiar si quien la administra quedó comprometido.-

Diccionario de la Crew

• Bypass de autenticación: fallo que permite saltarse el control que verifica la identidad antes de conceder acceso.
• Reconstrucción limpia: reinstalación de un equipo desde una base conocida y configuración restaurada desde una copia anterior al incidente.
• Servidores de backup: sistema que administra o coordina copias de seguridad y sus operaciones.
• Webshells: archivo colocado en un servidor web para ejecutar acciones de forma remota.