AhsayCBS: fallas CVE-2026-105133 y 105134 explotadas para webshells y minería

Qué pasó

El 4 de octubre de 2026, el NVD publicó dos vulnerabilidades en AhsayCBS (Cloud Backup Server), la consola de gestión del software de copias de seguridad de Ahsay, muy usada por proveedores de servicios gestionados (MSP) e integradores: CVE-2026-105133 y CVE-2026-105134. En pocos días ya se explotaban en la práctica.

Según la empresa de seguridad Huntress, la explotación empezó el 7 de octubre a las 23:20 UTC (8 de octubre, 08:20 JST). Hasta el 8 de octubre, Huntress había visto cinco organizaciones atacadas.

Las dos fallas

• CVE-2026-105133 (media): autenticación incorrecta en la función checkSysPwd (ApiStructsAction.java).
• CVE-2026-105134 (crítica): en el endpoint /rps/api/json/UpdateReceivers.do del componente Replication Receiver, una omisión de autenticación permite ejecución remota de código sin autenticación como NT AUTHORITY\SYSTEM.

Los atacantes las encadenan: la primera evita la autenticación y la segunda ejecuta código. Luego configuran un "receiver" malicioso y dejan un webshell JSP en el directorio que sirve la aplicación.

Qué hicieron después

Huntress describe:

• webshells JSP justo después de la intrusión;
• descargas con curl y certutil de archivos alojados en un bucket de Alibaba Cloud OSS;
• el minero XMRig renombrado como edge.exe y una copia modificada de NSSM llamada msedge.exe, ejecutándose como el falso servicio MicrosoftEdgeUpdateSvc con privilegios SYSTEM;
• un script de PowerShell (Taskgmr.ps1), al parecer escrito con ayuda de IA, que pausa la minería cuando se abre el Administrador de tareas;
• en un caso, el driver vulnerable WinRing0x64.sys, para dar al minero acceso de kernel al hardware.

La corrección sigue siendo delicada

Huntress actualizó su informe el 8 de octubre: la versión 10.3.4 también es vulnerable, al contrario de lo que se dijo al principio. En una alerta del 10 de octubre, Ahsay indicó que la 10.3.4.0 no lo corrigió del todo y recomienda aplicar el hotfix 10.3.4.45 (distribuido a socios) y reiniciar el servidor. Consulte siempre la página oficial antes de actuar.

Qué hacer ahora (lista)

1. Inventario: averigüe si usted o su MSP usan AhsayCBS.
2. Restrinja el acceso: la consola no debe estar expuesta a internet. Solo IP de confianza o VPN.
3. Aplique el hotfix recomendado y reinicie.
4. Busque indicios: procesos hijos inesperados de cbssvcX64.exe, edge.exe/msedge.exe en carpetas Temp, el servicio MicrosoftEdgeUpdateSvc, conexiones al puerto 8029 y descargas de WinRing0. Huntress publicó reglas Sigma e IOC.
5. Si encuentra indicios, reinstale el equipo desde una imagen confiable: puede haber otras puertas traseras.
6. Pruebe la restauración: un servidor de copias comprometido pone en riesgo su última defensa contra el ransomware.

Por qué importa a las pymes

Los servidores de copias ocupan una posición privilegiada: acceden a datos de muchos clientes y suelen tener permisos altos. Si cae el MSP, todos sus clientes quedan expuestos. Esta vez el objetivo fue minar criptomonedas, pero el mismo acceso serviría para robar datos o borrar copias antes de un ransomware.

Fuentes

• Huntress (8/10/2026): https://www.huntress.com/blog/ahsaycbs-flaws-exploit
• Anuncio de Ahsay: https://www.ahsay.com/en/company/announcements/patch-cve-105133-105134
• BleepingComputer: https://www.bleepingcomputer.com/news/security/unpatched-ahsaycbs-flaws-exploited-to-deploy-webshells-mine-crypto/
• SecurityWeek: https://www.securityweek.com/unpatched-ahsaycbs-vulnerabilities-exploited-in-the-wild/

---

¿Quiere revisar la seguridad de sus copias o de su MSP? KGA IT ofrece una consulta gratuita: kga-it.com.