AhsayCBS: fallos sin parche explotados para web shells y XMRig

Dos vulnerabilidades de AhsayCBS, la consola centralizada con la que se gestionan servidores de copias de seguridad en la nube, se están explotando en ataques reales y todavía no tienen corrección. Son CVE-2026-105133 (bypass de autenticación) y CVE-2026-105134 (inyección de comandos del sistema operativo). La empresa de detección y respuesta Huntress observó a atacantes que las encadenan para ejecutar código en remoto sin autenticación, instalar web shells JSP y lanzar el minero de criptomonedas XMRig disfrazado de Microsoft Edge. Según Huntress, también es vulnerable la 10.3.4, la última versión disponible.

Qué ha pasado

AhsayCBS, desarrollado por Ahsay Systems, gestiona políticas de copia de seguridad, almacenamiento y usuarios. Lo usan sobre todo proveedores de servicios gestionados (MSP) e integradores de sistemas, que lo emplean para las copias de seguridad de sus clientes.

Las dos vulnerabilidades se hicieron públicas el 4 de octubre. Según SecurityWeek, el NIST advertía entonces que el código de un exploit ya era público y que estaban afectadas las versiones de AhsayCBS hasta la 10.3.2. BleepingComputer indica en cambio que los fallos figuraban como corregidos en la 10.3.2. En un punto las fuentes coinciden: tras nuevas comprobaciones, Huntress determinó que la 10.3.4 también es vulnerable.

La actividad maliciosa se observó el 7 de octubre, según BleepingComputer. A 8 de octubre, al menos cinco organizaciones habían sido atacadas. Las fuentes no nombran a las víctimas ni atribuyen los ataques a un grupo concreto. BleepingComputer preguntó a Ahsay cuándo llegarán las correcciones, sin recibir respuesta antes de la publicación.

Detalles técnicos

• CVE-2026-105133: bypass de autenticación, con un exploit público.
• CVE-2026-105134: inyección de comandos del sistema operativo.
• Gravedad: según BleepingComputer, una de las dos es crítica y la otra de gravedad media; las fuentes no dicen cuál.
• Versiones afectadas: todas hasta la 10.3.4 incluida, según Huntress. Por ahora no existe una versión corregida.
• Vector: red, a través del servicio web de la aplicación expuesto en Internet.

Huntress, citada por SecurityWeek, describe el punto de entrada: una API del componente Replication Receiver contiene un bypass de autenticación por el que un token cualquiera puede sustituir a credenciales válidas. Así se obtiene ejecución remota de código, sin autenticación y con privilegios SYSTEM. SecurityWeek vincula este comportamiento a CVE-2026-105134, mientras que BleepingComputer describe la cadena en dos pasos: primero CVE-2026-105133 para eludir la autenticación y después CVE-2026-105134 para ejecutar código.

La cadena de ataque observada

1. Acceso inicial: explotación de las dos vulnerabilidades en la interfaz web expuesta.
2. Web shell: el atacante configura un receiver malicioso y deposita una web shell JSP en la carpeta de la aplicación servida por AhsayCBS.
3. Reconocimiento del sistema comprometido.
4. Criptominería: descarga de XMRig con el nombre edge.exe.
5. Persistencia: un servicio de Windows llamado MicrosoftEdgeUpdateSvc ejecuta msedge.exe, que en realidad es una copia modificada de la utilidad legítima NSSM (Non-Sucking Service Manager), con privilegios SYSTEM. NSSM mantiene el minero en ejecución y lo reinicia tras un fallo o un reinicio.
6. Ocultación: el script de PowerShell Taskgmr.ps1, que según Huntress se escribió con ayuda de la IA, detiene el servicio cuando se abre el Administrador de tareas y lo reinicia cuando se cierra. Además, cierra el Administrador de tareas a las 18:00, hora local, o si permanece abierto más de una hora durante la noche.
7. Driver vulnerable: en un caso el atacante instaló WinRing0x64.sys, un driver legítimo pero vulnerable, para dar al minero acceso a nivel de kernel y más recursos de hardware.

El minero disfrazado de Microsoft Edge también protagoniza el titular de The Hacker News, la tercera fuente, cuyo texto completo no se pudo consultar.

MITRE ATT&CK (nuestra correspondencia de los comportamientos descritos): T1190 Exploit Public-Facing Application, T1505.003 Web Shell, T1059.001 PowerShell, T1543.003 Windows Service, T1036.004 Masquerade Task or Service, T1036.005 Match Legitimate Name or Location, T1496 Resource Hijacking.

Impacto para las empresas europeas e italianas

En los ataques observados el objetivo era la minería, pero una web shell con privilegios SYSTEM en una consola de copias de seguridad le da al atacante mucho más. Por ella pasan las políticas, el almacenamiento y los usuarios de las copias, a menudo de muchos clientes del mismo proveedor. Quien controla esa consola puede preparar ataques más graves, ransomware incluido, partiendo precisamente de la herramienta que sirve para restaurar los datos.

Los MSP entran en el ámbito de NIS2 (en Italia, Decreto Legislativo 138/2024). Para ellos, el compromiso de una plataforma usada para prestar servicios a los clientes puede ser un incidente significativo que hay que notificar al CSIRT nacional, en Italia el CSIRT Italia de la ACN. También hay que valorar la obligación de informar a los clientes afectados. Si las copias contienen datos personales, conviene considerar la notificación de la brecha a la autoridad de protección de datos según el RGPD. En la sanidad, donde las copias guardan datos clínicos, la disponibilidad y la integridad de las copias son un requisito de continuidad del servicio.

Qué hacer ya

1. Inventario: localiza todas las instancias de AhsayCBS, incluidas las que gestionan tus proveedores de copias de seguridad. Considéralas vulnerables sea cual sea la versión, 10.3.4 incluida.
2. Limita el acceso a la interfaz web, como recomienda Huntress: solo desde direcciones IP de confianza o mediante VPN. Es la medida principal hasta que salga el parche.
3. Busca señales de compromiso:
   • un servicio MicrosoftEdgeUpdateSvc u otros servicios con el nombre de Microsoft Edge que ejecutan programas fuera de las carpetas de instalación del navegador;
   • archivos msedge.exe o edge.exe en rutas inusuales, el script Taskgmr.ps1 y el driver WinRing0x64.sys;
   • archivos JSP nuevos en la carpeta de la aplicación AhsayCBS y receivers de replicación que no has configurado;
   • un Administrador de tareas que se cierra solo, consumo de CPU anómalo, conexiones salientes hacia pools de minería.
4. Usa los indicadores publicados por Huntress: los IoC y las cuatro reglas Sigma de detección.
5. Si encuentras indicios: conserva registros y evidencias, aísla el host y gestiona el evento como un incidente. Huntress recomienda una restauración completa del host desde una copia segura, porque el atacante podría haber dejado otras puertas traseras. Después cambia las credenciales de administración de la consola.
6. Sigue las novedades de Ahsay y aplica la corrección en cuanto esté disponible; luego comprueba que la versión instalada esté realmente corregida.

Cómo ayuda ARXDOME

ARX Expose muestra qué servicios expone tu empresa en Internet y qué productos se reconocen en ellos: una consola AhsayCBS accesible para cualquiera aparece entre los hallazgos. En los servidores Windows, el agent de ARX Sentry recoge registros y eventos de seguridad, procesos, puertos y los cambios en los archivos de las carpetas elegidas, como la de la aplicación AhsayCBS; los eventos de ejecución sospechosa y de persistencia se agrupan y se destacan. ARX Shield permite aislar de la red una máquina sospechosa, y con ARX Trace los analistas pueden lanzar recogidas y búsquedas de los indicadores en varios servidores.

Última actualización: 9 de octubre de 2026