Alerta de Seguridad: AhsayCBS - Inyección de comandos remota

// resumen_ejecutivo

CVE-2026-105134 (CVSS 10.0) permite ejecutar comandos remotamente en AhsayCBS. CISA KEV; fecha límite FCEB: 17-10-2026.

// descripcion_detallada

Alerta crítica por CVE-2026-105134

CISA confirmó explotación activa al incorporar CVE-2026-105134 al catálogo KEV el 14 de octubre de 2026. La vulnerabilidad, con CVSS 10.0, afecta a AhsayCBS y permite a un atacante remoto ejecutar comandos del sistema operativo manipulando el parámetro random en /rps/api/json/UpdateReceivers.do, perteneciente al componente Replication Receiver.

La falla corresponde a CWE-77/CWE-78: datos no neutralizados correctamente alcanzan un contexto de comandos. CISA indica que puede encadenarse con CVE-2026-105133. Debido al rol privilegiado de los servidores de respaldo, una explotación puede facilitar acceso a información sensible, alteración de tareas, interrupción de recuperaciones y movimiento hacia otros activos.

Estado: explotada activamente.
Producto: Ahsay AhsayCBS, componente Replication Receiver.
Severidad: crítica, CVSS 10.0.
Fecha límite FCEB: 17 de octubre de 2026.
Ransomware: uso desconocido según el feed CISA.

Las versiones específicas deben confirmarse en el aviso del fabricante. No debe asumirse protección por número de versión sin contrastar la instalación con la actualización oficial de Ahsay.

// vectores_de_ataque

Red/remoto; manipulación del parámetro random en /rps/api/json/UpdateReceivers.do; inyección de comandos del sistema operativo; potencial encadenamiento con CVE-2026-105133.

// versiones_afectadas

Ahsay AhsayCBS, componente Replication Receiver. Consultar el aviso oficial de Ahsay para versiones afectadas y corregidas.

// indicadores_de_compromiso 1 tipo

CVEs (1)

CVE-2026-105134

// recomendaciones_de_mitigacion

Acciones prioritarias

Aplicar inmediatamente las mitigaciones y actualizaciones publicadas por Ahsay para CVE-2026-105133/CVE-2026-105134.
Identificar todas las instancias AhsayCBS y comprobar cuáles tienen interfaces administrativas o de replicación accesibles desde Internet.
Restringir el acceso al endpoint vulnerable y a las interfaces de gestión mediante controles de red, VPN y listas de acceso.
Revisar registros HTTP para detectar actividad inusual contra /rps/api/json/UpdateReceivers.do, especialmente valores anómalos en random.
Buscar procesos hijos, comandos, archivos o conexiones salientes inesperadas originadas por el servicio AhsayCBS.
Ante indicios de explotación, aislar el activo, preservar evidencia, activar respuesta a incidentes y rotar credenciales potencialmente expuestas.
Verificar la integridad de las copias y ejecutar una restauración controlada desde respaldos confiables.
Seguir BOD 26-04 y los requisitos de triaje forense citados por CISA. Si no hay mitigación disponible, evaluar discontinuar el uso del producto.

No esperar a la fecha límite: la inclusión en KEV confirma explotación activa y exige reducir de inmediato la superficie expuesta.