Las vulnerabilidades de AhsayCBS, aprovechadas para instalar «web shells», cuentan ahora con nuevas soluciones tras la publicación de parches incompletos

La em­pre­sa Ahsay Bac­kup, si­tua­da en Sin­ga­pur, ha lan­za­do ac­tua­li­za­cio­nes de se­gu­ri­dad con el fin de co­rre­gir un par de vul­ne­ra­bi­li­da­des pre­sen­tes en Ah­sayCBS. Estos fa­llos de se­gu­ri­dad han sido apro­ve­cha­dos por ci­ber­de­lin­cuen­tes para ins­ta­lar puer­tas tra­se­ras web (*web shells*) y pro­gra­mas para minar la crip­to­mo­ne­da XMRig.

Las de­bi­li­da­des co­rres­pon­den a los iden­ti­fi­ca­do­res CVE-2026-105133 y CVE-2026-105134, las cua­les pue­den com­bi­nar­se para eva­dir los me­ca­nis­mos de au­ten­ti­ca­ción y lo­grar la eje­cu­ción ar­bi­tra­ria de co­man­dos en los equi­pos vul­ne­ra­bles. Pre­via­men­te, una in­ves­ti­ga­ción de Hun­tress de­ta­lló cómo los ata­can­tes unían ambas fa­llas para con­se­guir eje­cu­ción re­mo­ta de có­di­go sin au­ten­ti­ca­ción en equi­pos ex­pues­tos.

A pesar de que ini­cial­men­te se creía que los pro­ble­mas ha­bían que­da­do re­suel­tos con los lan­za­mien­tos de agos­to de 2026, la com­pa­ñía tec­no­ló­gi­ca re­co­no­ció que aque­llos par­ches fue­ron in­com­ple­tos. Por este mo­ti­vo, se han pu­bli­ca­do nue­vos co­rrec­cio­nes en forma de ac­tua­li­za­cio­nes de emer­gen­cia o *hot­fi­xes* para las ver­sio­nes afec­ta­das, re­co­men­dan­do re­ini­ciar el ser­vi­dor tras su ins­ta­la­ción.

Como con­se­cuen­cia de la ex­plo­ta­ción ac­ti­va de estas vul­ne­ra­bi­li­da­des, la Agen­cia de Ci­ber­se­gu­ri­dad y Se­gu­ri­dad de In­fra­es­truc­tu­ra de Es­ta­dos Uni­dos (CISA) las in­cor­po­ró a su ca­tá­lo­go de fa­llos ex­plo­ta­dos co­no­ci­dos, es­ta­ble­cien­do una fecha lí­mi­te para su apli­ca­ción en las agen­cias fe­de­ra­les.