Índice de contenidos
Claves de la noticia
- Huntress amplía su aviso: AhsayCBS 10.3.4 también está afectado por dos fallos explotados en ataques reales.
- Los registros CVE consultados todavía presentan esa versión como solución; el aviso corregido recomienda restringir el acceso al panel.
- La campaña deja puertas traseras y mineros que se ocultan cuando el usuario abre el Administrador de tareas.
Una actualización de versión puede dar una falsa sensación de seguridad cuando la investigación cambia. Huntress ha rectificado su informe sobre AhsayCBS, el servidor de copias de seguridad utilizado por proveedores de servicios gestionados: la versión 10.3.4, inicialmente considerada a salvo, también resulta vulnerable según sus investigadores. La corrección cambia qué deben comprobar quienes administran estos sistemas.
La corrección que cambia la respuesta
El informe original de Huntress incorpora una actualización fechada el 8 de octubre a las 18:00 de la costa este estadounidense, las 00:00 del 9 en Madrid. La empresa afirma que, tras ampliar su investigación, determinó que 10.3.4 también está afectada y comunicó los detalles a Ahsay. Mientras se dispone de un parche, recomienda limitar el acceso a la interfaz de gestión e investigar posibles compromisos.
La novedad es sustancial porque contradice la salida que ofrecían los avisos iniciales. Al consultar los registros originales de CVE-2026-105133 y CVE-2026-105134, ambos seguían marcando 10.3.4 como unaffected y recomendaban actualizar a ella. Sus metadatos situaban la última modificación el 5 de octubre, antes de la rectificación de Huntress. Esa diferencia de fechas permite explicar la discrepancia, pero no demostrar por sí sola qué instalación concreta está comprometida.
| Documento | Estado declarado | Fecha relevante |
|---|---|---|
| CVE-2026-105133 | No afectada; propone actualizar | Última modificación: 5 de octubre |
| CVE-2026-105134 | No afectada; propone actualizar | Última modificación: 5 de octubre |
| Huntress, aviso corregido | Afectada; restringir el panel | 8 de octubre, 18:00 ET |
La conclusión práctica del contraste es concreta: tener instalada 10.3.4 no basta para cerrar esta incidencia. Un inventario que la clasifique automáticamente como segura a partir del registro anterior necesita revisión. La tabla describe documentos consultados, no una prueba independiente realizada sobre el software.
Dos fallos abren el servidor de copias
AhsayCBS centraliza usuarios, políticas de respaldo y almacenamiento. Su fabricante ofrece instalarlo en infraestructura propia o en una máquina virtual en la nube. Por eso el panel expuesto puede estar en el servidor que coordina las copias de varios clientes de un proveedor, aunque Huntress no ha documentado que todos esos clientes sufran una intrusión.
Los atacantes encadenan dos vulnerabilidades. CVE-2026-105133 afecta a una función de comprobación de contraseña y permite eludir la autenticación. CVE-2026-105134 afecta al receptor de replicación y posibilita ejecutar órdenes del sistema. Huntress describe ejecución sin credenciales con privilegios SYSTEM en los equipos Windows investigados. La distinción importa: una debilidad en la comprobación de acceso acaba habilitando acciones con permisos elevados cuando se combina con el segundo fallo.
La primera explotación observada por Huntress comenzó el 7 de octubre a las 23:20:15 UTC. Al día siguiente había identificado cinco organizaciones atacadas. Ese recuento corresponde a su visibilidad, no al total mundial de víctimas. Tampoco acredita robo o destrucción de todas las copias: el informe documenta intrusiones y actividad posterior, y no debe ampliarse más allá de esas pruebas.
La documentación de AhsayCBS 10.3.4 fecha la versión el 5 de agosto y enumera correcciones de conectividad, migración y restauración, entre otras. No es una versión publicada como respuesta nueva al aviso de octubre. Sus notas de lanzamiento y el posterior estado de vulnerabilidad son documentos con funciones distintas; no conviene deducir protección de la mera presencia de una versión en el catálogo.
El consumo de CPU puede esconderse al mirarlo
Tras la entrada, los investigadores observaron archivos JSP que proporcionan acceso remoto persistente y despliegues del minero XMRig. También encontraron un servicio llamado MicrosoftEdgeUpdateSvc y ejecutables disfrazados de componentes de Microsoft Edge. Uno era una copia modificada de NSSM, una utilidad legítima para mantener programas en ejecución; otro era el minero. El nombre de navegador no demuestra legitimidad y necesita contrastarse con ubicación, origen y comportamiento.
El detalle más útil para diagnosticar es el script que vigila el Administrador de tareas. Según Huntress, detiene el servicio de minería cuando esa herramienta se abre y lo reinicia cuando se cierra. Puede además terminar el propio Administrador de tareas bajo determinadas condiciones horarias. Por tanto, una CPU tranquila mientras está abierta esa ventana no descarta esta campaña: la acción empleada para observar modifica precisamente el comportamiento que se intenta detectar.
Huntress publica cuatro reglas Sigma orientadas a distintas fases: procesos hijos anómalos del servicio AhsayCBS, ejecutables disfrazados de Edge, control del servicio ligado al Administrador de tareas y descarga del controlador WinRing0. Revisar actividad histórica y relaciones entre procesos aporta más información que una captura puntual de consumo. Es una consecuencia del mecanismo descrito, no una garantía de que esas reglas detecten todas las variantes.
Contener el acceso y revisar la persistencia
Para una organización española que utilice esta consola, la recomendación atribuida a Huntress es limitar el panel a direcciones de confianza o exigir una VPN. Conviene identificar quién lo administra y desde dónde está accesible antes de dar por resuelto el aviso. El problema de conservar accesos después de actuar sobre la vulnerabilidad también apareció en el caso reciente de Atlassian: corregir la entrada y comprobar lo ocurrido son tareas diferentes.
Si aparecen indicadores de compromiso, Huntress aconseja reconstruir el equipo desde una copia fiable por la posibilidad de puertas traseras secundarias. El incidente del contratista del FBI ilustra el valor de verificar el estado real de los sistemas, aunque corresponde a otro producto y no prueba una relación entre campañas. En AhsayCBS, el dato decisivo es doble: la versión antes recomendada sigue bajo sospecha y el acceso persistente requiere una revisión propia.
Imagen: ilustración conceptual generada con IA; no representa un servidor afectado identificado.
