AhsayCBS: los atacantes van a por los servidores de copias de seguridad, y su copia en la nube puede depender de uno
AhsayCBS es el servidor central de Ahsay, un software de copias de seguridad en la nube que no suele venderse con ese nombre: lo compran proveedores de informática, integradores y empresas de hosting, le ponen su propia marca y lo ofrecen a sus clientes como «su copia en la nube». En octubre de 2026 se publicaron dos vulnerabilidades, CVE-2026-105133 y CVE-2026-105134, que combinadas permiten a un atacante, sin usuario ni contraseña, tomar el control total del servidor donde se gestionan esas copias. Ya se están explotando, y la primera versión que se dio por corregida no lo estaba.
Usted no tiene que haber instalado nada para estar afectado. Si su copia en la nube se la da un proveedor, la pregunta es qué software usa ese proveedor por debajo y si ya ha aplicado la corrección.
Qué ha pasado
- El 4 de octubre se publicaron los dos fallos. El primero permite saltarse la autenticación de la consola de administración. El segundo permite ejecutar comandos en el servidor a través del componente que recibe las réplicas de las copias. Juntos dan control total, con los máximos privilegios de Windows (SYSTEM), con una simple secuencia de peticiones web.
- El 7 de octubre por la noche, la firma de seguridad Huntress detectó los primeros ataques reales. Al día siguiente contaba ya cinco organizaciones atacadas.
- Los registros oficiales de los fallos decían que la versión 10.3.4, publicada en agosto, los corregía. Huntress comprobó que no era así, y el 10 de octubre Ahsay lo reconoció y publicó dos correcciones de urgencia: la 10.3.4.45 para la versión 10 y la 9.15.2.70 para las versiones 7, 8 y 9.
- El 14 de octubre, la agencia de ciberseguridad de Estados Unidos (CISA) incluyó ambos fallos en su catálogo de vulnerabilidades explotadas.
Qué hacían los atacantes una vez dentro
En los casos que analizó Huntress, los atacantes instalaron puertas traseras en la propia consola web de Ahsay y un programa para minar criptomonedas camuflado como Microsoft Edge, que se escondía cuando alguien abría el Administrador de tareas. Huntress no ha informado de que tocaran las copias de los clientes.
Que esta vez buscaran minar criptomonedas no debe tranquilizar a nadie. Un atacante con control total del servidor de copias puede hacer cosas mucho peores: borrar o cifrar las copias antes de lanzar un ransomware, que es justo lo que los grupos de ransomware intentan para que la víctima no pueda recuperarse sin pagar. Por eso los servidores de copias son hoy uno de los objetivos favoritos.
¿Le afecta a su empresa?
Ahsay está diseñado para proveedores de servicios. Lo habitual es que la empresa cliente nunca vea la palabra Ahsay, salvo en el nombre del programa que corre en sus equipos. Hay tres situaciones posibles:
- Su proveedor de informática o de hosting le da copias en la nube con un programa propio. Puede ser Ahsay con otra marca. Busque en los equipos o servidores que se copian programas o servicios llamados AhsayOBM, AhsayACB o «Online Backup Manager», o carpetas con esos nombres en Archivos de programa. Si no encuentra nada, pregúntelo directamente.
- Su empresa tiene un servidor AhsayCBS propio. Es poco habitual en una pyme, pero ocurre en grupos con varias sedes que replican copias entre ellas. En ese caso, el responsable de aplicar la corrección es usted.
- Usa otro software de copias (Veeam, Acronis, Synology, la copia de Microsoft 365, etc.). Este fallo concreto no le afecta, pero las preguntas del apartado siguiente le sirven igual.
Qué preguntar a su proveedor de copias
Si su proveedor usa Ahsay, estas son las preguntas concretas, y conviene tener la respuesta por escrito:
- ¿Qué versión de AhsayCBS tienen en sus servidores y en qué fecha aplicaron la corrección 10.3.4.45 o 9.15.2.70? Si la respuesta es «estamos en la 10.3.4», no está corregido.
- ¿Han revisado si sus servidores fueron atacados entre el 7 de octubre y la fecha de la corrección? Huntress recomienda buscar ficheros JSP nuevos en la carpeta de la aplicación y procesos desconocidos lanzados por el servicio de Ahsay.
- ¿La consola de administración es accesible desde cualquier lugar de internet o solo desde direcciones de confianza o por VPN? Lo recomendable es lo segundo.
- ¿Hay alguna copia de mis datos que no pueda borrarse ni desde ese servidor? Por ejemplo, una copia inmutable o una tercera copia en otro sistema.
Si encuentran indicios de intrusión, la recomendación de Huntress es reconstruir el servidor desde cero a partir de una copia fiable, no limpiarlo: los atacantes pueden haber dejado más puertas traseras de las que se ven.
Si el servidor AhsayCBS es suyo
- Aplique hoy la corrección que corresponda a su versión (10.3.4.45 o 9.15.2.70) desde el portal de partners de Ahsay y reinicie el servidor. Después, compruebe que la versión que está en marcha es la nueva.
- Restrinja el acceso a la consola web a direcciones IP de confianza o a la VPN. No hay motivo para que esté abierta a todo internet.
- Revise desde el 7 de octubre: ficheros .jsp nuevos en la carpeta de la aplicación, servicios con nombres parecidos a los de Microsoft Edge que no deberían estar, conexiones salientes a puertos poco habituales y un consumo de CPU anormalmente alto.
La lección: proteja la copia de la copia
Este caso confirma algo que repetimos a todos nuestros clientes: tener copia de seguridad no basta si la copia puede caer con el mismo ataque. Una estrategia sólida sigue la regla 3-2-1-1: tres copias de los datos, en dos soportes distintos, una fuera de la oficina y una inmutable o desconectada, que nadie pueda borrar ni con las claves del administrador. Y, sobre todo, restauraciones de prueba periódicas, porque una copia que nunca se ha restaurado es una suposición, no una garantía.
Conclusión práctica
Lo más probable es que usted no sepa qué software usa su proveedor de copias, y es normal. Pero esta semana es buen momento para preguntarlo. Si es Ahsay, compruebe que ha aplicado la corrección buena, no la 10.3.4. Si es otro, aproveche para confirmar que tiene una copia que sobreviviría aunque cayera el servidor de copias.
Si no tiene claro cómo están montadas sus copias o si podría recuperar la empresa tras un ransomware, lo revisamos con usted y le proponemos un esquema con copia inmutable y pruebas de restauración.
Fuentes
Información actualizada a 28 de octubre de 2026.