AhsayCBS: vulnerabilidad de inyección de comandos CVE-2026-105134 explotada para instalar una puerta trasera en Python

Qué ocurrió

Dos vulnerabilidades en AhsayCBS, el software de servidor de copias de seguridad de Ahsay, son públicas desde el 4 de octubre de 2026. No son nuevas, pero el 14 de octubre de 2026 CISA añadió ambas a su catálogo de vulnerabilidades conocidas explotadas. Los informes sobre los ataques describen que los fallos se usan para instalar una puerta trasera en Python en los servidores. Cualquier servidor AhsayCBS que no se haya actualizado desde la publicación está en riesgo.

• CVE-2026-105134 (CVSS 10): inyección de comandos del sistema operativo en el componente Replication Receiver. Los atacantes envían un argumento random manipulado a /rps/api/json/UpdateReceivers.do, y el ataque puede ejecutarse de forma remota. Existe un exploit público.
• CVE-2026-105133 (CVSS 7.3): autenticación inadecuada en la función checkSysPwd de la API (com/ahsay/obs/api/ApiStructsAction.java), también activada mediante el argumento random y explotable de forma remota. Existe un exploit público.

Según las entradas de los CVE, el primer parche no solucionó completamente el problema, por lo que las entradas se actualizaron después. Las versiones corregidas se indican ahora como 9.15.2.70 y 10.3.4.45.

Quiénes están afectados

Está afectado si utiliza AhsayCBS en una de estas versiones:

• 9.x hasta la 9.15.2.69 inclusive
• 10.x hasta la 10.3.4.44 inclusive

Otros productos no están afectados. Si instaló un parche temprano para estos CVE pero todavía no tiene la 9.15.2.70 o la 10.3.4.45, considere que su servidor sigue siendo vulnerable.

Qué hacer ahora

1. Compruebe qué versión de AhsayCBS utiliza, en la consola de administración web o en el directorio de instalación.
2. Haga una copia de seguridad de la configuración de AhsayCBS.
3. Actualice a 9.15.2.70 (rama 9.x) o a 10.3.4.45 (rama 10.x) o posterior. Consulte el aviso de Ahsay enlazado más abajo para ver los enlaces de descarga y cualquier paso adicional.
4. Reinicie el servicio de AhsayCBS y asegúrese de que las copias de seguridad y la replicación vuelven a funcionar.
5. Hasta que instale la actualización, bloquee el acceso a los puertos web y de API de AhsayCBS desde internet, o limítelo a direcciones IP conocidas. Los endpoints de replicación, en particular, no deberían estar abiertos a cualquiera.
6. Es posible que su servidor haya sido atacado antes de actualizarlo, así que revíselo en busca de indicios de compromiso como se describe más abajo. Si encuentra una puerta trasera, considere el servidor comprometido. Reconstrúyalo desde un estado limpio y conocido, y cambie todas las contraseñas y credenciales de API almacenadas en él o utilizadas por él.

Cómo comprobar si está afectado

• Versión: cualquier versión anterior a 9.15.2.70 o 10.3.4.45 es vulnerable.
• Registros web y de acceso: busque solicitudes a /rps/api/json/UpdateReceivers.do, especialmente desde direcciones IP desconocidas o con contenido inusual en el parámetro random. Revise la actividad desde el 4 de octubre de 2026 como máximo.
• Procesos y archivos: busque procesos de Python inesperados, scripts o ejecutables de Python creados recientemente, y nuevas tareas programadas, trabajos de cron o servicios en el servidor de AhsayCBS.
• Red: compruebe si hay conexiones salientes desde el servidor a hosts desconocidos.
• Cuentas: revise las cuentas de administrador y de usuario en AhsayCBS y en el sistema operativo en busca de entradas que usted no haya creado.

CISA no ofrece detalles sobre los ataques. Para los indicadores de compromiso, consulte los informes de seguridad enlazados más abajo.

Fuentes

• https://nvd.nist.gov/vuln/detail/CVE-2026-105133
• https://nvd.nist.gov/vuln/detail/CVE-2026-105134