Американската Агенция за киберсигурност и сигурност на инфраструктурата (CISA) добави четири нови уязвимости в своя каталог с известни експлоатирани уязвимости (KEV):

  • CVE-2026-0322, уязвимост от висока степен на опасност за отдалечено изпълнение на код (RCE) в интерфейса за управление на Palo Alto Networks PAN-OS
  • CVE-2026-76519, критична уязвимост от тип обхождане на релативен път (relative path traversal) в Cisco Secure Email Gateway (SEG)
  • CVE-2026-105133, уязвимост със средна степен на опасност, свързана с неправилна автентикация, и CVE-2026-105134, критична уязвимост за внедряване на команди (command injection), в Ahsay AhsayCBS

Агенцията ги добави въз основа на доказателства за активна експлоатация и предостави на федералните граждански агенции в САЩ тридневен срок, до 17 октомври 2026 г., за да отстранят уязвимостите.

„Тези видове уязвимости са чест вектор на атака за киберпрестъпниците и създават значителни рискове за федералната инфраструктура“, предупреди CISA.

Относно CVE-2026-0322

CVE-2026-0322 е дефект в интерфейса за управление на Palo Alto Networks PAN-OS, който позволява на автентикиран атакуващ с мрежов достъп да изпълни произволен код с root привилегии върху защитната стена.

Засегнати са защитните стени от сериите PA-Series и VM-Series, както и Panorama. Cloud NGFW и Prisma Access не са засегнати.

Уязвимостта има CVSS оценка 8.6, а Palo Alto Networks определи степента ѝ на спешност като най-висока. „Наблюдава се много ограничена експлоатация, насочена срещу интерфейса за управление на Palo Alto Networks“, съобщава компанията. В бюлетина за сигурност са посочени три IP адреса, свързани с опитите за експлоатация.

Коригираните версии са налични за PAN-OS 10.2, 11.1, 11.2, 12.1 и 12.2, като на 15 октомври се очаква и PAN-OS 11.2.16. Клиентите с по-стари, неподдържани версии трябва да надстроят до поддържана коригирана версия.

„Не съществуват известни алтернативни решения за този проблем“, отбелязва компанията, но потребителите могат да минимизират риска, като ограничат достъпа до интерфейса за управление само до надеждни вътрешни IP адреси.

„Ограниченото покритие в Threat Prevention означава, че въпреки че познатите модели на атака могат да бъдат идентифицирани чрез текущия Threat ID, може да съществуват варианти, които към момента не могат да бъдат открити. Ако тази CVE уязвимост и необходимата за излагане конфигурация засягат вашата среда, препоръчваме надграждане до незасегната версия“, се посочва в бюлетина.

Уязвимостта е открита вътрешно от Сурадж Сидхарудх от Palo Alto Networks.

Относно CVE-2026-76519

CVE-2026-76519 е уязвимост от тип обхождане на релативен път (relative path traversal) във функцията Advanced Malware Protection (AMP) на Cisco Secure Email Gateway, причинена от неправилно обработване на прикачени файлове в имейли, когато услугата за репутация на файлове (file reputation) е активирана.

„Атакуващ би могъл да експлоатира тази уязвимост, като изпрати имейл, съдържащ специално създаден прикачен файл през засегнато устройство. Успешната експлоатация може да позволи на атакуващия да записва произволни файлове и да изпълнява команди с root привилегии на основната операционна система“, предупреди Cisco.

Дефектът има CVSS оценка 9.8 и е установен по време на вътрешно сканиране за сигурност. „През октомври 2026 г. екипът на Cisco PSIRT научи за активна експлоатация на тази уязвимост“, пишат от компанията.

Тази уязвимост засяга физически и виртуални устройства Cisco Secure Email Gateway, работещи с уязвима версия на софтуера Cisco AsyncOS, когато са изпълнени две условия:

  • Услугата File Reputation, част от Cisco AMP, е активирана и присвоена към политика за електронна поща
  • Версията на Content Scanner Tools е по-стара от 25.3.0.5525

Cisco предупреждава, че атакуващите с root достъп могат да заличат или скрият следите от експлоатацията, и съветва администраторите да проверяват мрежовите логове и логовете на защитните стени извън самото устройство за съмнителна активност, включително неочаквано качване на данни към външни IP адреси.

„Няма алтернативни решения, които да отстранят тази уязвимост“, заявиха от Cisco.

Компанията препоръчва клиентите, които използват версии на AsyncOS по-стари от 16.5, да мигрират към версия 16.5.0-780. Корекцията е налична и за всички лицензирани и поддържани версии на AsyncOS чрез Content Scanner Tools версия 25.3.0.5525 и по-нови, което не изисква софтуерен ъпгрейд или рестартиране.

Относно CVE-2026-105133, CVE-2026-105134

Операторите на сървъри за резервни копия, които са инсталирали по-ранните корекции за сигурност от Ahsay за двете уязвимости в AhsayCBS, все още са били изложени на риск, потвърдиха от компанията. Атакуващи са експлоатирали слабостите за внедряване на уеб шелове (webshells) и инструменти за копаене на криптовалута върху сървъри с публичен достъп в интернет.

AhsayCBS е конзолата за управление на софтуера за архивиране на Ahsay. Тя се използва основно от доставчици на управлявани услуги (MSP) и системни интегратори за създаване и управление на потребители и конфигуриране на политики за резервни копия.

Изследователите от Huntress, които документираха атаките в публикация в блога си на 8 октомври, посочват, че двата дефекта се комбинират във верига от атаки за проникване в целевите системи. „Първо, CVE-2026-105133 се използва за заобикаляне на автентикацията“, обясняват те. След това CVE-2026-105134 се използва за изпълнение на код на сървъра с права SYSTEM.

В предупреждение за сигурност от 12 октомври Ahsay призна, че предишните корекции за сигурност, v9.15.2.59 и v10.3.4.0, не са отстранили напълно CVE-2026-105133 и CVE-2026-105134.

Позовавайки се на сериозността на рисковете, компанията призова партньорите „да предприемат незабавни действия за защита на средата си и защита на данните на своите клиенти“.

Организациите, използващи версии v10, трябва да инсталират спешната корекция (hotfix) AhsayCBS v10.3.4.45, а тези на v7, v8 и v9 — да инсталират v9.15.2.70. И двете са достъпни през партньорския портал на Ahsay, като компанията препоръчва на администраторите да рестартират сървъра след прилагането им.

В същия ден от Huntress обновиха публикацията си в блога, заявявайки, че собствените им тестове потвърждават, че корекцията 10.3.4.45 блокира началната входна точка от веригата на атаката, която по-ранните версии на v10 са оставили отворена.