CVE-2026-105134 en AhsayCBS: inyección de comandos crítica

CVE-2026-105134 en AhsayCBS: inyección de comandos crítica

Qué es y a quién afectaEl CVE-2026-105134 es una vulnerabilidad de inyección de comandos del sistema operativo (CWE-77 y CWE-78) en AhsayCBS, la plata...

Qué es y a quién afecta

El CVE-2026-105134 es una vulnerabilidad de inyección de comandos del sistema operativo (CWE-77 y CWE-78) en AhsayCBS, la plataforma de copias de seguridad de Ahsay. El fallo se localiza en el componente Replication Receiver, concretamente en el endpoint /rps/api/json/UpdateReceivers.do, y permite a un atacante remoto ejecutar comandos del sistema operativo manipulando el parámetro random.

Rack de servidores con un equipo de copias de seguridad abierto y un cable que se desvía hacia una toma de red

Según la NVD del NIST, el problema afecta a AhsayCBS hasta la versión 10.3.2. La gravedad es crítica: CVSS 4.0 de 9.3. La explotación no requiere privilegios ni interacción del usuario, y el impacto sobre confidencialidad, integridad y disponibilidad es alto. Además, CISA señala que puede encadenarse con otra vulnerabilidad, el CVE-2026-105133.

Esto importa a cualquier pyme, comercio online o equipo de IT pequeño que use AhsayCBS para proteger sus copias de seguridad: un servidor de backup comprometido es una puerta de entrada a toda la infraestructura, y también el peor escenario posible para la recuperación ante un incidente.

Por qué es urgente

No estamos ante un fallo teórico. CISA añadió el CVE-2026-105134 a su catálogo KEV (Known Exploited Vulnerabilities) el 14 de octubre de 2026, lo que confirma que ya se está explotando en ataques reales. La NVD publicó el CVE el 4 de octubre de 2026 y advierte de que el exploit es público y puede utilizarse.

A las agencias federales de EE. UU. CISA les dio un plazo de corrección de solo tres días, hasta el 17 de octubre de 2026. Ese plazo no se aplica a una empresa española, pero marca la urgencia real: cuando un fallo entra en el KEV, los atacantes automatizan su búsqueda y explotación a gran escala. En el material no consta su uso en campañas de ransomware, pero eso no reduce el riesgo: la ejecución remota de comandos ya es, por sí sola, un incidente grave.

Para una pyme en Lleida, Barcelona, Tarragona o Girona con RGPD y LOPDGDD en juego, un servidor de backup comprometido puede derivar en acceso no autorizado a datos personales y en obligaciones de notificación a la AEPD.

Qué hacer hoy

  • Comprueba si usas AhsayCBS y en qué versión. Si estás en la 10.3.2 o inferior, estás dentro del rango afectado.
  • Actualiza. La NVD indica que la versión 10.3.4 resuelve el problema. Si no puedes actualizar de inmediato, aplica las mitigaciones que indique el aviso del fabricante; CISA pide seguir las instrucciones de Ahsay y valorar la exposición a internet de cada activo.
  • Revisa indicios de intrusión. Busca comandos inesperados en los registros del servidor, accesos anómalos al endpoint /rps/api/json/UpdateReceivers.do y movimientos raros en las copias de seguridad.
  • Reduce la superficie expuesta. Un servidor de backup no debería estar accesible desde internet sin necesidad. Restringe el acceso por red, limita las IP de origen y revisa las cuentas con permisos.
  • No olvides el encadenamiento. Como el CVE puede combinarse con el CVE-2026-105133, conviene revisar también ese fallo en el mismo entorno.

Cómo puede ayudar un equipo de ciberseguridad

En ALMC trabajamos con pymes, comercios online y equipos de IT reducidos que necesitan respuestas concretas, no informes de cien páginas. Ante un aviso como este, lo primero es saber con exactitud qué versiones de AhsayCBS hay desplegadas y cuáles están expuestas a internet. A partir de ahí, priorizamos: aplicar la actualización o mitigación del fabricante, revisar la configuración del servidor y comprobar si ha habido actividad sospechosa antes de dar el caso por cerrado.

También hacemos auditorías de seguridad y pentesting para detectar vulnerabilidades antes de que las exploten, hardening de servidores, monitorización y respuesta a incidentes, mantenimiento y actualización de WordPress, PrestaShop y Joomla, y reparación de webs hackeadas. Si tu equipo interno va justo de tiempo, podemos encargarnos de la parte técnica mientras tú sigues con el negocio.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.