Las vulnerabilidades de AhsayCBS requieren medidas inmediatas por parte de los administradores de copias de seguridad y los proveedores de servicios gestionados. AhsayCBS 10.3.4.0 sigue expuesto; Ahsay indicó a los socios de la versión 10 el 10 de octubre de 2026 que instalaran el hotfix 10.3.4.45 y reiniciaran. Restrinja ahora la interfaz de administración, busque webshells y mineros camuflados, y reconstruya el servidor a partir de copias de seguridad fiables si se detecta una intrusión.
¿Cuáles son las vulnerabilidades de AhsayCBS?
Las vulnerabilidades de AhsayCBS son dos fallos de seguridad que los atacantes encadenan para eludir la autenticación y ejecutar comandos del sistema operativo como SYSTEM. CVE-2026-105133 tiene una puntuación CVSS v4 de 2026 de 5,5, mientras que CVE-2026-105134 tiene una puntuación CVSS v4 de 2026 de 9,3 y afecta al componente Replication Receiver.
CVE-2026-105133 es una vulnerabilidad de autenticación incorrecta que proporciona el punto de entrada inicial. CVE-2026-105134 es una vulnerabilidad de inyección de comandos del sistema operativo que convierte ese acceso en ejecución remota de código con los privilegios del proceso de AhsayCBS.
La explotación activa se observó por primera vez en la telemetría de Huntress a las 23:20:15 UTC del 7 de octubre de 2026, según el relato de la investigación publicado por BleepingComputer. El momento es importante: la explotación apareció tres días después de que ambos CVE se hicieran públicos, el 4 de octubre de 2026.
Las puntuaciones de gravedad por sí solas subestiman el riesgo operativo. Un fallo de autenticación de gravedad media se vuelve mucho más peligroso cuando abre de forma fiable la puerta a un fallo crítico de inyección de comandos. La infraestructura de copias de seguridad también dispone de acceso privilegiado, datos empresariales y capacidad de recuperación, por lo que un servidor comprometido tiene consecuencias más graves que una infección ordinaria de minería de criptomonedas.
¿Está AhsayCBS 10.3.4 protegido frente a ataques activos?
AhsayCBS 10.3.4 y 10.3.4.0 no ofrecen protección suficiente frente a la cadena de ataque activa de 2026. Huntress confirmó el 8 de octubre de 2026 que la versión estándar seguía siendo vulnerable, y Ahsay reconoció el 10 de octubre de 2026 que la versión 10.3.4.0 no había corregido por completo ninguna de las dos vulnerabilidades.
AhsayCBS v10.3.4.0 se publicó el 4 de agosto de 2026 y se presentó inicialmente como una versión que corregía los fallos. En consecuencia, las primeras recomendaciones de mitigación registradas por la National Vulnerability Database y VulDB indicaban a los administradores que actualizaran, pero las pruebas de Huntress demostraron que ese consejo no cerraba la exposición.
La instrucción efectiva del proveedor para la versión 10 es instalar el hotfix 10.3.4.45 y reiniciar. Las versiones 7 a 9 de AhsayCBS requieren el hotfix 9.15.2.70, según el anuncio de Ahsay del 12 de octubre de 2026.
| Instalación | Acción requerida | Estado verificado en 2026 |
|---|---|---|
| Versión 10.3.4 o 10.3.4.0 | Instalar el hotfix 10.3.4.45 y reiniciar | La versión estándar seguía siendo vulnerable el 8 de octubre; la mitigación del punto de entrada mediante el hotfix se verificó el 12 de octubre |
| Versiones 7–9 | Instalar el hotfix 9.15.2.70 | Indicado por Ahsay el 12 de octubre |
Existe un caso límite importante. Huntress afirmó que el hotfix 10.3.4.45 bloquea el punto de entrada de elusión de la autenticación, pero su redacción del 12 de octubre de 2026 no afirmaba que se hubiera eliminado la propia CVE-2026-105134. En mi opinión, exponer ampliamente Replication Receiver o la interfaz de administración después de aplicar el parche es un riesgo evitable; las restricciones de red siguen formando parte de la solución.
¿Qué deben hacer inmediatamente los administradores de AhsayCBS?
Los administradores de AhsayCBS deben instalar el hotfix correcto de 2026, reiniciar el servidor, restringir el acceso de gestión a direcciones IP de confianza o a VPN, e investigar el host para detectar posibles compromisos. La instalación del hotfix 10.3.4.45 bloquea el punto de entrada observado de la versión 10, pero aplicar parches no puede eliminar webshells, servicios ni mecanismos secundarios de persistencia que los atacantes ya hayan implantado.
Utilice el siguiente orden de respuesta para reducir la exposición sin destruir las pruebas necesarias para la investigación:
- Restrinja la interfaz de administración de AhsayCBS y Replication Receiver a redes de administración aprobadas, direcciones IP de confianza o una VPN. Si las operaciones empresariales lo permiten, elimine la exposición directa a Internet mientras investiga.
- Conserve los registros pertinentes y capture las pruebas volátiles conforme a su procedimiento de respuesta ante incidentes antes de reiniciar o eliminar archivos. Registre la versión instalada de AhsayCBS, el nivel del hotfix, los servicios en escucha, los procesos en ejecución, la configuración de los servicios y los procesos secundarios recientes.
- Instale el hotfix 10.3.4.45 en la versión 10 o el hotfix 9.15.2.70 en las versiones 7 a 9, siguiendo las indicaciones de Ahsay de octubre de 2026. Reinicie cuando el proveedor lo exija.
- Busque los indicadores publicados, webshells JSP, procesos secundarios sospechosos de AhsayCBS, Microsoft Edge binarios falsos, servicios inesperados, actividad del controlador WinRing0 y tráfico saliente de minería.
- Rote las credenciales y los secretos accesibles desde el servidor afectado después de contener el incidente. Incluya las cuentas de servicio, las credenciales de administrador, las credenciales de los repositorios, las claves API y cualquier credencial utilizada para acceder al almacenamiento de copias de seguridad protegido.
- Recree la imagen de un sistema comprometido desde medios fiables y restaure datos verificados. Valide la integridad de las copias de seguridad y pruebe la recuperación antes de devolver el servidor a producción.
Huntress recomendó recrear completamente la imagen cuando se encuentren indicadores, porque un intruso puede haber añadido mecanismos de persistencia más allá de los artefactos documentados públicamente. Eliminar solo XMRig no constituye una respuesta ante incidentes. La misma distinción entre aplicar parches y buscar indicios se aplica a otros sistemas empresariales explotados, incluidas las indicaciones de respuesta para la vulnerabilidad de JFrog Artifactory y las posibles puertas traseras.
Considere el calendario numéricamente. Los fallos se hicieron públicos el 4 de octubre de 2026, la explotación apareció el 7 de octubre y el hotfix corregido de la versión 10 llegó el 10 de octubre. Esto deja un intervalo de seis días entre la divulgación y el hotfix, y un periodo de tres días de ataques observados antes del hotfix, sin contar ninguna intrusión que escapara a la telemetría.
¿Cómo se puede detectar un servidor AhsayCBS explotado?
Un servidor AhsayCBS explotado puede contener webshells JSP, XMRig camuflado como edge.exe, una utilidad NSSM renombrada llamada msedge.exe, un servicio de nivel SYSTEM denominado MicrosoftEdgeUpdateSvc. Huntress también observó que Taskgmr.ps1 detenía la minería cuando se abría el Administrador de tareas de Windows y la reiniciaba después de cerrarlo.
Esos nombres son camuflaje, no una prueba de que Microsoft Edge esté comprometido. Compare las rutas de los archivos, las firmas, los hashes, los procesos principales, las horas de creación y las líneas de comandos de los servicios en lugar de eliminar todos los archivos con nombres similares. Los atacantes salen beneficiados cuando los investigadores confunden un nombre de archivo conocido con un componente legítimo.
Huntress informó el 8 de octubre de 2026 de que las cargas útiles procedían de imagefiles-backup.oss-ap-southeast-7.aliyuncs[.]com y de que el tráfico de minería de XMR llegaba a xmr.kryptex[.]network:8029. Trate cualquiera de las dos conexiones como una pista de alta prioridad y compruebe después la telemetría de DNS, proxy, cortafuegos y endpoints correspondiente al mismo periodo.
La empresa también publicó tres hashes de cargas útiles y cuatro detecciones Sigma en 2026. Las reglas cubren procesos secundarios inesperados de AhsayCBS, binarios falsos de Edge, control de servicios consciente del Administrador de tareas y descargas del controlador WinRing0. Utilice los valores completos de la investigación de Huntress o su repositorio público de inteligencia sobre amenazas en lugar de depender de hashes abreviados.
La ausencia de esos indicadores no demuestra que un servidor esté limpio. Los hashes publicados detectan cargas maliciosas conocidas, pero un webshell puede cambiar de nombre o sustituirse. Busque en la genealogía de procesos, los servicios creados recientemente, las conexiones salientes anómalas, los archivos JSP modificados y la actividad de autenticación en torno al primer evento sospechoso.
¿Hasta qué punto es grave la explotación observada?
Las vulnerabilidades observadas de AhsayCBS afectaron al menos a cinco organizaciones identificadas por Huntress hasta el 8 de octubre de 2026, y The Hacker News informó posteriormente de un incidente adicional observado por Huntress. Los informes públicos no encontraron pruebas de una explotación generalizada en ese momento, pero el ataque proporcionó persistencia a nivel de SYSTEM y acceso remoto a servidores de copias de seguridad.
La cifra limitada requiere contexto. Cinco incidentes, más uno, suman seis casos observados, no seis víctimas en todo el mundo; Huntress solo podía ver los entornos cubiertos por su telemetría. Sería erróneo describir la campaña como una explotación masiva, e igualmente erróneo interpretar la pequeña muestra como una señal tranquilizadora.
Criptomoneda la minería era la forma visible de monetización. Los webshells JSP son el hallazgo más grave, porque pueden mantener el acceso remoto después de eliminar el minero. Por tanto, un operador de copias de seguridad debe asumir que la confidencialidad, la integridad y la preparación para la recuperación pueden haberse visto afectadas hasta que el análisis forense indique lo contrario.
La priorización debe tener en cuenta la exposición y los privilegios, no solo CVSS. Los sistemas AhsayCBS expuestos a Internet requieren atención inmediata, seguidos de las instalaciones expuestas internamente a las que se pueda acceder desde redes menos fiables. Los equipos que gestionen varias emergencias pueden aplicar la misma lógica de priorizar primero lo explotado descrita en la guía sobre cómo priorizar una gran carga de trabajo del Patch Tuesday.
Preguntas frecuentes sobre las vulnerabilidades de AhsayCBS
¿La instalación del hotfix 10.3.4.45 limpia un servidor infectado?
No. El hotfix 10.3.4.45 de AhsayCBS mitiga el punto de entrada de la elusión de autenticación, pero no elimina los webshells, mineros, servicios maliciosos ni mecanismos de persistencia desconocidos existentes. Huntress recomendó recrear las imágenes de los hosts comprometidos a partir de copias de seguridad fiables en 2026.
¿Qué revisión urgente de AhsayCBS se aplica a las versiones 7 a 9?
Las versiones 7 a 9 de AhsayCBS deben recibir el hotfix 9.15.2.70, según las indicaciones de Ahsay del 12 de octubre de 2026. Los administradores deben seguir las instrucciones de instalación del proveedor y verificar el nivel de hotfix resultante.
¿Fue Microsoft Edge responsable del ataque a AhsayCBS?
No. Los atacantes cambiaron el nombre de XMRig a edge.exe y el de una utilidad NSSM modificada a msedge.exe en 2026 para que parecieran componentes de Microsoft Edge. Los nombres de archivo eran disfraces utilizados en servidores AhsayCBS comprometidos.
¿Debe seguir expuesto un servidor de AhsayCBS después de aplicar el parche?
El acceso de administración a un servidor AhsayCBS debería estar restringido a direcciones IP de confianza o a una VPN incluso después de instalar la corrección urgente de octubre de 2026. Huntress verificó que la corrección urgente 10.3.4.45 bloquea el punto de entrada observado para eludir la autenticación, pero no que se hubieran eliminado todas las posibles vías para explotar CVE-2026-105134.