flawopen.com/Incidents/ahsaycbs-auth-bypass-command-injection-october-2026

● Ahsay · CVE-2026-105133 · 2026-10-07 · CVSS 10.0 · Crítica

Investigación · FlawOpen

AhsayCBS: salto de autenticación seguido de inyección de comandos

Al 12 de octubre de 2026, Huntress informa que las versiones de AhsayCBS hasta la 10.3.4 están afectadas y que observó ataques desde el 7 de octubre. Ahsay ahora indica que las correcciones anteriores 10.3.4.0 y 9.15.2.59 no resolvieron por completo ambos fallos; recomienda a sus socios de v10 aplicar el hotfix 10.3.4.45 y a los de v7–v9 el 9.15.2.70, y reiniciar después. Los detalles de los hotfixes, disponibles solo para socios, no se verificaron de forma independiente; confirme la compilación instalada y siga las instrucciones actuales de Ahsay.^{[1], [8], [3], [4]}

💡 Explicación en Lenguaje Sencillo (ELI5)

Imagina que alguien supera la verificación de identidad de la sala de copias de seguridad y luego entrega una nota al operador. El endpoint de recepción trató datos controlados por el atacante como parte de un comando del sistema operativo, por lo que la nota podía interpretarse como una instrucción y no como datos. La analogía describe la cadena que Huntress atribuye al ataque; la implementación exacta de Ahsay no es pública.^{[1], [3], [4]}

Conceptos Clave y Términos

CVE-2026-105133: Fallo de autenticación de gravedad media notificado en la función checkSysPwd de AhsayCBS. Huntress lo describe como la primera fase de la cadena observada.^{[3], [1]}
CVE-2026-105134: Fallo crítico de inyección de comandos del sistema operativo, CVSS 10.0, notificado en la API Replication Receiver de /rps/api/json/UpdateReceivers.do. Huntress afirma que permitió ejecutar código tras el salto de autenticación. La puntuación 10.0 corresponde a este CVE, no a ambos fallos.^{[4], [1]}
Estado de los parches al 12 de octubre de 2026: Los registros CVE indicaban inicialmente que la 10.3.4 corregía los fallos, pero Huntress encontró después versiones afectadas hasta la 10.3.4. Los avisos de Ahsay del 10 y 12 de octubre sustituyen su postura del 9 de octubre: las correcciones 10.3.4.0 y 9.15.2.59 no resolvieron por completo ambos fallos. Ahsay indica a sus socios de v10 usar 10.3.4.45 y a los de v7–v9 usar 9.15.2.70, y reiniciar. Son instrucciones del proveedor; el contenido y la eficacia de los hotfixes reservados a socios no se verificaron de forma independiente.^{[1], [8], [3], [4]}

Mapeos de marcos

Referencia CWE para la debilidad descrita en esta guía: CWE-78 CWE-287

Estado de las versiones y acción defensiva

Fuente de evidencia	Qué indica	Decisión operativa
Registros CVE (4 oct.)	Al principio indican que la 10.3.4 corrige los dos CVE.	Trata esa información como controvertida; confirma la corrección directamente con Ahsay antes de cerrar la mitigación.
Huntress (8 oct.)	Informa de explotación y afirma que también estaban afectadas las versiones hasta la 10.3.4.	Considera potencialmente afectados los sistemas hasta la 10.3.4; restringe el acceso de administración e investiga.
Notas de Ahsay v10.3.4 (5 ago.)	No mencionan ninguno de los dos CVE ni una corrección de seguridad para ellos.	No deduzcas que la 10.3.4 corrigió estos CVE basándote solo en las notas de versión.
Notas de Ahsay v10.3.2 (20 jul.)	Incluyen un “Ahsay Security Patchset - 2026/Q3” genérico, pero no identifican estos CVE ni una versión corregida.	No tomes el nombre genérico del paquete como prueba de que estos CVE están corregidos. Después, Huntress informó que la v10.3.4 también estaba afectada.
Posible compromiso en cualquier versión	El número de versión no descarta una explotación anterior ni la persistencia.	Investiga el host, conserva las pruebas, evalúa la integridad de las copias de seguridad y utiliza procedimientos de recuperación confiables.
Avisos de Ahsay (10 y 12 oct.)	Las correcciones 10.3.4.0 y 9.15.2.59 no resolvieron por completo ambos fallos. Ahsay indica a socios de v10 usar 10.3.4.45 y a los de v7–v9 usar 9.15.2.70, y reiniciar.	Siga la instrucción del proveedor para su versión, reinicie y confirme la compilación instalada por el canal de socios; el hotfix no se inspeccionó de forma independiente.

Cronología del Incidente

2026-10-04

Se publicaron los registros CVE de los dos fallos de AhsayCBS y al principio indicaron que 10.3.4 estaba corregida.^{[3], [4]}

2026-10-07 23:20:15 UTC

Huntress empezó a observar la explotación de los fallos contra sistemas expuestos.^[1]

2026-10-08

Huntress informó de cinco organizaciones atacadas y corrigió su evaluación anterior: también encontró vulnerable la versión 10.3.4.^[1]

2026-10-09

Al publicarse el 9 de octubre, no se había identificado ninguna versión corregida confirmada por el proveedor.^[5]

2026-10-10

Ahsay anunció que la v10.3.4.0 no resolvió por completo ambos fallos e indicó a sus socios de v10 el hotfix 10.3.4.45.^[8]

2026-10-12

Ahsay actualizó las instrucciones: socios de v10 deben aplicar 10.3.4.45; los de v7–v9, 9.15.2.70. Reinicie tras cualquiera de los hotfixes.^[8]

Flujo de Ataque Paso a Paso

Paso 1

La interfaz de administración expuesta es accesible

Huntress afirma que la actividad observada se dirigió a interfaces web de AhsayCBS accesibles desde Internet. El producto lo utilizan proveedores de servicios gestionados e integradores de sistemas.^[1]

Paso 2

Se elude el límite de autenticación

Huntress atribuye la primera fase a CVE-2026-105133 y a checkSysPwd en ApiStructsAction.java. Es la descripción del equipo de respuesta; el material revisado no incluye el código vulnerable del proveedor.^{[1], [3]}

Paso 3

El fallo de Replication Receiver permite ejecutar código

Huntress relaciona CVE-2026-105134 con inyección de comandos en /rps/api/json/UpdateReceivers.do. Según su informe, los atacantes configuraron un receiver y colocaron webshells JSP en el directorio servido por la aplicación. No se reproduce sintaxis de solicitudes ni payloads.^{[1], [4]}

Paso 4

Trátalo como un posible compromiso del host

En los casos afectados, Huntress observó procesos hijos del servicio, webshells, software de minería disfrazado y persistencia. Restringe el acceso de administración, investiga el host y las copias de seguridad y sigue un procedimiento de reconstrucción confiable si confirmas el compromiso.^{[1], [6]}

Código Fuente: Vulnerable vs. Seguro

El ejemplo seguro usa un ejecutable fijo, una lista de permitidos explícita y argumentos separados en ProcessBuilder; no invoca un shell ni concatena la entrada del usuario en una cadena de comandos. Es un patrón defensivo genérico que muestra cómo cerrar el límite de interpretación de comandos del sistema operativo; no es código fuente ni un parche de Ahsay. Las fuentes públicas consultadas no muestran la implementación ni la corrección del proveedor.^{[1], [3], [4]}

IMPLEMENTACIÓN VULNERABLE

// Solo un antipatrón genérico; no es código fuente de Ahsay.
void updateReceiver(Request request) {
    String receiver = request.parameter("receiver");
    String command = commandBuilder.forReceiverUpdate(receiver);
    operatingSystem.execute(command); // unsafe command-string boundary
}

PARCHE SEGURO Y ROBUSTO

// Solo un diseño defensivo genérico; no es un parche de Ahsay.
private static final Set<String> ALLOWED_RECEIVERS = Set.of("primary", "archive");

void updateReceiver(Principal principal, ReceiverInput input) throws IOException {
    authorization.require(principal, Permission.MANAGE_RECEIVERS);
    String receiver = input.receiverId();
    if (!ALLOWED_RECEIVERS.contains(receiver)) {
        throw new IllegalArgumentException("Unsupported receiver");
    }
    new ProcessBuilder("/usr/local/bin/replication-tool", "update", "--receiver", receiver)
        .start(); // fixed executable; separate arguments; no shell
}

Lista de Verificación de Seguridad para Ingeniería

✓Según los hallazgos de Huntress, considere potencialmente afectadas las versiones hasta la 10.3.4. Ahsay indica a sus socios de v10 aplicar el hotfix 10.3.4.45 y a los de v7–v9 el 9.15.2.70, y reiniciar; el contenido de los hotfixes exclusivos para socios no se verificó de forma independiente. Confirme la compilación instalada con Ahsay antes de dar por concluida la mitigación.
✓Hasta instalar y verificar el hotfix de Ahsay correspondiente a la versión, limita la interfaz de administración a redes administrativas de confianza o a una VPN. No la expongas directamente a Internet.
✓Use las detecciones Sigma publicadas por Huntress como punto de partida: procesos hijos inesperados de los servicios AhsayCBS, binarios con nombre de Edge ejecutados como demonio, control de servicios que reacciona al Administrador de tareas y descargas del controlador WinRing0. Ajústelas a la línea base documentada y correlacione las alertas; las reglas son específicas de esta campaña y pueden generar falsos positivos.
✓Revisa la telemetría en busca de procesos hijos inesperados de los servicios AhsayCBS, archivos nuevos en la aplicación web y servicios recién creados. Úsalos como indicios, no como prueba aislada.
✓Si hay pruebas de compromiso, sigue el proceso de respuesta a incidentes, conserva los registros, evalúa la integridad de las copias y reconstruye desde una fuente confiable cuando corresponda. Cambia las credenciales desde un entorno limpio.
✓Comprueba cada compilación instalada y sus notas de versión frente a una corrección confirmada por Ahsay antes de declarar completada la remediación.