Atacan servidores de copias de seguridade AhsayCBS, que usan moitos provedores, e o primeiro parche non abondou

Que pasou

AhsayCBS é o programa co que moitos provedores de servizos xestionados e integradores xestionan, desde un servidor central, as copias de seguridade dos seus clientes. A empresa de seguridade Huntress informou o 8 de outubro de 2026 de que, desde o día 7, vira atacantes encadear dúas vulnerabilidades do programa: CVE-2026-105133, que permite saltar a autenticación, e CVE-2026-105134, que permite executar código no servidor cos máximos privilexios do sistema.

O que veu despois complicou o caso. O 9 de outubro, Ahsay asegurou que a versión 10.3.4.0, publicada o 4 de agosto, xa corrixía ambos os fallos. O 10 de outubro rectificou: esa versión non os corrixía do todo e pediu aos seus socios instalar o hotfix 10.3.4.45 e reiniciar o servidor. O 12 de outubro ampliou o aviso á versión 9.15.2.59, que tampouco abondaba, e publicou o hotfix 9.15.2.70. O 14 de outubro, a axencia de ciberseguridade dos Estados Unidos (CISA) engadiu os dous fallos ao seu catálogo de vulnerabilidades explotadas activamente.

Que sabemos

• Correccións válidas (segundo Ahsay): hotfix 10.3.4.45 para a versión 10 e hotfix 9.15.2.70 para a 9. Quen siga nas versións 7 ou 8 debe pasar primeiro á 9.15.0.0 e aplicar despois o hotfix. Só se descargan desde o portal de socios de Ahsay.
• Ataques observados: Huntress vira cinco organizacións atacadas a 8 de outubro. Os atacantes instalaron portas traseiras no servidor e un programa para minar criptomoedas camuflado como Microsoft Edge.
• Ahsay comezou a recibir o 9 de outubro avisos de socios sobre accesos non autorizados aos seus servidores AhsayCBS.
• Se o servidor xa foi atacado, Ahsay recomenda reinstalalo desde cero e recuperar unha configuración gardada polo menos un día antes do primeiro sinal sospeitoso. Actualizar non elimina a quen xa entrase.

Que non sabemos aínda

• Se os atacantes accederon ás copias dos clientes. Nin Ahsay nin Huntress o din: o que describiron é a toma do servidor e a minaría de criptomoedas.
• Cantos servidores foron atacados, máis alá dos cinco casos que viu Huntress.
• A versión que corrixiu os fallos por primeira vez. BleepingComputer informou ao principio de que estaban corrixidos na 10.3.2; Ahsay dixo despois que na 10.3.4.0, e finalmente que esa versión tampouco abondaba.
• Se hai vítimas en España. Non hai ningunha confirmada.

Por que importa

As copias de seguridade son o último que queda cando todo o demais falla, por exemplo tras un ataque de ransomware. Por iso un servidor de copias é un obxectivo valioso: quen o controla pode chegar á rede do provedor e, potencialmente, á información de moitos clientes á vez.

O caso deixa ademais unha lección incómoda: un parche non sempre pecha o problema. Quen actualizou en agosto e quedou tranquilo seguía exposto.

Que significa para unha peme

En moitas pemes, as copias na nube contrátallas o xerente ao seu provedor de informática, moitas veces como parte dun paquete mensual. É habitual non saber que programa hai detrás nin onde está o servidor. E non fai falta sabelo: fai falta preguntalo. O servidor afectado non está na túa oficina, pero os teus datos si poden estar nel.

Que debería facer a túa empresa esta semana

1. Pregúntalle ao teu provedor de copias se usa AhsayCBS. Se a resposta é si, pide que che confirme que ten instalado o hotfix 10.3.4.45 ou o 9.15.2.70.
2. Pregúntalle se revisou o servidor en busca de sinais de intrusión anteriores á corrección, como recomenda Ahsay, e que atopou.
3. Fai unha proba de recuperación: pide que che devolvan un ficheiro concreto da semana pasada. Unha copia que non se probou non é unha garantía.
4. Comproba que tes polo menos unha copia fóra do alcance dese servidor, desconectada ou noutro provedor. É a base da regra 3-2-1 de copias de seguridade (en castelán).

Se non sabes con certeza quen fai as túas copias, como e onde, iso é xusto o que revisa unha auditoría de ciberseguridade.