Atacan servidores de copias de seguridad AhsayCBS, que usan muchos proveedores, y el primer parche no bastó

Qué ha pasado

AhsayCBS es el programa con el que muchos proveedores de servicios gestionados e integradores gestionan, desde un servidor central, las copias de seguridad de sus clientes. La empresa de seguridad Huntress informó el 8 de octubre de 2026 de que, desde el día 7, había visto a atacantes encadenar dos vulnerabilidades del programa: CVE-2026-105133, que permite saltarse la autenticación, y CVE-2026-105134, que permite ejecutar código en el servidor con los máximos privilegios del sistema.

Lo que vino después complicó el caso. El 9 de octubre, Ahsay aseguró que la versión 10.3.4.0, publicada el 4 de agosto, ya corregía ambos fallos. El 10 de octubre rectificó: esa versión no los corregía del todo y pidió a sus socios instalar el hotfix 10.3.4.45 y reiniciar el servidor. El 12 de octubre amplió el aviso a la versión 9.15.2.59, que tampoco bastaba, y publicó el hotfix 9.15.2.70. El 14 de octubre, la agencia de ciberseguridad de Estados Unidos (CISA) añadió los dos fallos a su catálogo de vulnerabilidades explotadas activamente.

Qué sabemos

• Correcciones válidas (según Ahsay): hotfix 10.3.4.45 para la versión 10 y hotfix 9.15.2.70 para la 9. Quien siga en las versiones 7 u 8 debe pasar primero a la 9.15.0.0 y aplicar después el hotfix. Solo se descargan desde el portal de socios de Ahsay.
• Ataques observados: Huntress había visto cinco organizaciones atacadas a 8 de octubre. Los atacantes instalaron puertas traseras en el servidor y un programa para minar criptomonedas camuflado como Microsoft Edge.
• Ahsay empezó a recibir el 9 de octubre avisos de socios sobre accesos no autorizados a sus servidores AhsayCBS.
• Si el servidor ya fue atacado, Ahsay recomienda reinstalarlo desde cero y recuperar una configuración guardada al menos un día antes de la primera señal sospechosa. Actualizar no elimina a quien ya hubiera entrado.

Qué no sabemos todavía

• Si los atacantes han accedido a las copias de los clientes. Ni Ahsay ni Huntress lo dicen: lo que han descrito es la toma del servidor y la minería de criptomonedas.
• Cuántos servidores hay atacados, más allá de los cinco casos que vio Huntress.
• La versión que corrigió los fallos por primera vez. BleepingComputer informó al principio de que estaban corregidos en la 10.3.2; Ahsay dijo después que en la 10.3.4.0, y finalmente que esa versión tampoco bastaba.
• Si hay víctimas en España. No hay ninguna confirmada.

Por qué importa

Las copias de seguridad son lo último que queda cuando todo lo demás falla, por ejemplo tras un ataque de ransomware. Por eso un servidor de copias es un objetivo valioso: quien lo controla puede llegar a la red del proveedor y, potencialmente, a la información de muchos clientes a la vez.

El caso deja además una lección incómoda: un parche no siempre cierra el problema. Quien actualizó en agosto y se quedó tranquilo seguía expuesto.

Qué significa para una pyme

En muchas pymes, las copias en la nube las contrata el gerente a su proveedor de informática, muchas veces como parte de un paquete mensual. Es habitual no saber qué programa hay detrás ni dónde está el servidor. Y no hace falta saberlo: hace falta preguntarlo. El servidor afectado no está en tu oficina, pero tus datos sí pueden estar en él.

Qué debería hacer tu empresa esta semana

1. Pregunta a tu proveedor de copias si usa AhsayCBS. Si la respuesta es sí, pide que te confirme que tiene instalado el hotfix 10.3.4.45 o el 9.15.2.70.
2. Pregunta si ha revisado el servidor en busca de señales de intrusión anteriores a la corrección, como recomienda Ahsay, y qué ha encontrado.
3. Haz una prueba de recuperación: pide que te devuelvan un archivo concreto de la semana pasada. Una copia que no se ha probado no es una garantía.
4. Comprueba que tienes al menos una copia fuera del alcance de ese servidor, desconectada o en otro proveedor. Es la base de la regla 3-2-1 de copias de seguridad.

Si no sabes con certeza quién hace tus copias, cómo y dónde, eso es justo lo que revisa una auditoría de ciberseguridad.