Ataquen servidors de còpies de seguretat AhsayCBS, que fan servir molts proveïdors, i el primer pedaç no va bastar

Què ha passat

AhsayCBS és el programa amb què molts proveïdors de serveis gestionats i integradors gestionen, des d'un servidor central, les còpies de seguretat dels seus clients. L'empresa de seguretat Huntress va informar el 8 d'octubre de 2026 que, des del dia 7, havia vist atacants encadenar dues vulnerabilitats del programa: CVE-2026-105133, que permet saltar-se l'autenticació, i CVE-2026-105134, que permet executar codi al servidor amb els màxims privilegis del sistema.

El que va venir després va complicar el cas. El 9 d'octubre, Ahsay va assegurar que la versió 10.3.4.0, publicada el 4 d'agost, ja corregia les dues falles. El 10 d'octubre va rectificar: aquesta versió no les corregia del tot i va demanar als seus socis que instal·lessin el hotfix 10.3.4.45 i reiniciessin el servidor. El 12 d'octubre va ampliar l'avís a la versió 9.15.2.59, que tampoc no n'hi havia prou, i va publicar el hotfix 9.15.2.70. El 14 d'octubre, l'agència de ciberseguretat dels Estats Units (CISA) va afegir les dues falles al seu catàleg de vulnerabilitats explotades activament.

Què sabem

• Correccions vàlides (segons Ahsay): hotfix 10.3.4.45 per a la versió 10 i hotfix 9.15.2.70 per a la 9. Qui continuï a les versions 7 o 8 ha de passar primer a la 9.15.0.0 i aplicar després el hotfix. Només es descarreguen des del portal de socis d'Ahsay.
• Atacs observats: Huntress havia vist cinc organitzacions atacades a 8 d'octubre. Els atacants van instal·lar portes del darrere al servidor i un programa per minar criptomonedes camuflat com a Microsoft Edge.
• Ahsay va començar a rebre el 9 d'octubre avisos de socis sobre accessos no autoritzats als seus servidors AhsayCBS.
• Si el servidor ja ha estat atacat, Ahsay recomana reinstal·lar-lo des de zero i recuperar una configuració desada com a mínim un dia abans del primer senyal sospitós. Actualitzar no elimina qui ja hi hagués entrat.

Què no sabem encara

• Si els atacants han accedit a les còpies dels clients. Ni Ahsay ni Huntress no ho diuen: el que han descrit és la presa del servidor i la mineria de criptomonedes.
• Quants servidors han estat atacats, més enllà dels cinc casos que va veure Huntress.
• La versió que va corregir les falles per primera vegada. BleepingComputer va informar al principi que estaven corregides a la 10.3.2; Ahsay va dir després que a la 10.3.4.0, i finalment que aquesta versió tampoc no n'hi havia prou.
• Si hi ha víctimes a Espanya. No n'hi ha cap de confirmada.

Per què importa

Les còpies de seguretat són l'últim que queda quan tota la resta falla, per exemple després d'un atac de ransomware. Per això un servidor de còpies és un objectiu valuós: qui el controla pot arribar a la xarxa del proveïdor i, potencialment, a la informació de molts clients alhora.

El cas deixa, a més, una lliçó incòmoda: un pedaç no sempre tanca el problema. Qui va actualitzar a l'agost i es va quedar tranquil continuava exposat.

Què significa per a una pime

En moltes pimes, les còpies al núvol les contracta el gerent al seu proveïdor d'informàtica, sovint com a part d'un paquet mensual. És habitual no saber quin programa hi ha darrere ni on és el servidor. I no cal saber-ho: cal preguntar-ho. El servidor afectat no és a la teva oficina, però les teves dades sí que hi poden ser.

Què hauria de fer la teva empresa aquesta setmana

1. Pregunta al teu proveïdor de còpies si fa servir AhsayCBS. Si la resposta és sí, demana-li que et confirmi que té instal·lat el hotfix 10.3.4.45 o el 9.15.2.70.
2. Pregunta-li si ha revisat el servidor per buscar senyals d'intrusió anteriors a la correcció, com recomana Ahsay, i què ha trobat.
3. Fes una prova de recuperació: demana que et retornin un fitxer concret de la setmana passada. Una còpia que no s'ha provat no és una garantia.
4. Comprova que tens almenys una còpia fora de l'abast d'aquest servidor, desconnectada o en un altre proveïdor. És la base de la regla 3-2-1 de còpies de seguretat (en castellà).

Si no saps amb certesa qui fa les teves còpies, com i on, això és justament el que revisa una auditoria de ciberseguretat.