CISA nahm am 14. Oktober 2026 vier Schwachstellen in den Katalog bekannter ausgenutzter Sicherheitslücken (Known Exploited Vulnerabilities, KEV) auf. Die US-Behörde begründete die Einträge mit Hinweisen auf aktive Ausnutzung. Betroffen sind Palo Alto Networks PAN-OS, Cisco Secure Email Gateway und AhsayCBS. CISA nennt alle vier CVEs und den Grund für die Aufnahme.

Welche Schwachstellen CISA aufnahm

Die vier Einträge betreffen drei Produktfamilien:

  • CVE-2026-0322: Code-Injection-Schwachstelle in der Verwaltungsschnittstelle von PAN-OS.
  • CVE-2026-76519: Relative Path Traversal in Cisco Secure Email Gateway.
  • CVE-2026-105133: Fehler bei der Authentifizierung in AhsayCBS.
  • CVE-2026-105134: Command Injection in AhsayCBS.

Zu CVE-2026-0322 berichtet Help Net Security, dass ein Angreifer mit gültiger Anmeldung und Netzwerkzugriff beliebigen Code mit Root-Rechten auf der Firewall ausführen könne. Der Bericht nennt einen CVSS-Wert von 8,6 und Korrekturen für PAN-OS 10.2, 11.1, 11.2, 12.1 und 12.2. Als Maßnahme zur Risikominderung empfiehlt er, den Zugriff auf die Verwaltungsschnittstelle auf vertrauenswürdige interne IP-Adressen zu beschränken. Help Net Security beschreibt die gemeldeten PAN-OS-Details.

CVE-2026-76519 betrifft die Advanced-Malware-Protection-Funktion von Cisco Secure Email Gateway. Laut Help Net Security greift die Schwachstelle nur bei bestimmten Voraussetzungen: File Reputation muss aktiviert und einer Mailrichtlinie zugewiesen sein; außerdem muss Content Scanner Tools älter als 25.3.0.5525 sein und eine verwundbare AsyncOS-Version laufen. Der Bericht nennt einen CVSS-Wert von 9,8. Eine frühere NeoTeo-Einordnung zu CVE-2026-76519 behandelt den Cisco-Fall gesondert.

Für unterstützte und lizenzierte AsyncOS-Versionen beschreibt Help Net Security ein Update von Content Scanner Tools auf Version 25.3.0.5525 oder höher, das weder ein Betriebssystem-Upgrade noch einen Neustart erfordere. Für AsyncOS-Versionen vor 16.5 nennt der Bericht den Wechsel auf 16.5.0-780. Bei PAN-OS kann die Beschränkung des Zugriffs auf die Verwaltungsschnittstelle das Risiko mindern; für Cisco empfiehlt der Bericht, externe Netzwerk- und Firewall-Protokolle auf Anzeichen eines Angriffs zu prüfen.

Für wen BOD 26-04 gilt

CISA zufolge gilt die Binding Operational Directive 26-04 für Behörden des US-amerikanischen Federal Civilian Executive Branch (FCEB). Die Behörde empfiehlt anderen Organisationen, KEV-Schwachstellen im Rahmen eines risikobasierten Schwachstellenmanagements zu priorisieren. Die Richtlinie richtet sich damit an eine bestimmte Gruppe von US-Bundesbehörden; CISA formuliert für andere Organisationen eine Empfehlung. Der KEV-Katalog dient der Priorisierung und führt Schwachstellen auf, zu denen CISA eine CVE-ID, Hinweise auf Ausnutzung und klare Gegenmaßnahmen voraussetzt.

Ahsay ersetzt frühere Hotfixes

Huntress beobachtete die Ausnutzung der beiden AhsayCBS-Schwachstellen nach eigenen Angaben erstmals am 7. Oktober 2026 um 23:20:15 UTC. Bis zum 8. Oktober hatte das Unternehmen fünf angegriffene Organisationen erfasst. Huntress beschreibt eine Angriffskette, in der CVE-2026-105133 die Authentifizierung umgeht und CVE-2026-105134 anschließend Codeausführung mit SYSTEM-Rechten ermöglicht. Huntress schildert die beobachteten Angriffe und ihren zeitlichen Verlauf.

In einer Mitteilung vom 12. Oktober erklärte Ahsay, die früheren Patches v9.15.2.59 und v10.3.4.0 hätten die beiden Sicherheitslücken nicht vollständig behoben. Ahsay nennt als Ersatz v10.3.4.45 für betroffene Installationen der Version 10 und v9.15.2.70 für betroffene Installationen der Versionen 7, 8 und 9. Nach der Installation soll der Server neu gestartet werden; für die Hotfixes ist eine gültige Anmeldung beim Partnerportal erforderlich. Ahsays Mitteilung führt die Versionen und den Neustart auf.