La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de EE. UU. (CISA) añadió el 14 de octubre de 2026 cuatro vulnerabilidades al catálogo de Vulnerabilidades Explotadas Conocidas (KEV), tras detectar indicios de explotación activa. Los fallos afectan a PAN-OS, Cisco Secure Email Gateway y AhsayCBS. CISA también precisó que la directiva BOD 26-04 se aplica a las agencias civiles del Poder Ejecutivo federal estadounidense y animó a otras organizaciones a priorizar las vulnerabilidades KEV mediante una gestión basada en riesgos. La alerta de CISA recoge las incorporaciones y el alcance de la directiva.

Las cuatro vulnerabilidades incorporadas

  • CVE-2026-0322, en PAN-OS: inyección de código.
  • CVE-2026-76519, en Cisco Secure Email Gateway: recorrido de rutas relativas.
  • CVE-2026-105133, en AhsayCBS: fallo de autenticación.
  • CVE-2026-105134, en AhsayCBS: inyección de comandos.

Los detalles técnicos de PAN-OS y Cisco Secure Email Gateway los publicó Help Net Security. Según ese medio, CVE-2026-0322 afecta a la interfaz de gestión de PAN-OS y un atacante autenticado con acceso de red podría ejecutar código arbitrario con privilegios de root. Help Net Security también señala que la vulnerabilidad afecta a PA-Series, VM-Series y Panorama.

En Cisco Secure Email Gateway, CVE-2026-76519 se encuentra en la función Advanced Malware Protection (AMP). Help Net Security describe una exposición condicionada a que el dispositivo use una versión vulnerable de AsyncOS, tenga File Reputation activado y asignado a una política de correo, y ejecute Content Scanner Tools anterior a 25.3.0.5525. No se trata de una vulnerabilidad atribuida a todos los productos Cisco. Para más contexto sobre el mismo fallo, NeoTeo publicó una nota sobre CVE-2026-76519 en Cisco Secure Email Gateway.

A quién se aplica BOD 26-04

CISA limita la aplicación de BOD 26-04 a las agencias del Federal Civilian Executive Branch (FCEB), es decir, el Poder Ejecutivo federal civil de Estados Unidos. Para las demás organizaciones, la agencia recomienda priorizar las vulnerabilidades del catálogo KEV dentro de una gestión basada en riesgos; no presenta la directiva como una obligación general. CISA establece que las candidaturas al catálogo deben contar con un identificador CVE, indicios de explotación y una guía clara de mitigación.

Ahsay indicó parches de sustitución para AhsayCBS

En su aviso del 12 de octubre, Ahsay explicó que las versiones anteriores v9.15.2.59 y v10.3.4.0 no corregían por completo CVE-2026-105133 y CVE-2026-105134. Para las instalaciones afectadas de AhsayCBS, indicó v10.3.4.45 para la versión v10 y v9.15.2.70 para las versiones v7, v8 y v9. También pidió reiniciar el servidor después de instalar el parche. Los paquetes se descargan desde el portal para socios, cuyo acceso requiere una cuenta válida. El aviso de Ahsay detalla las versiones y el procedimiento.

Huntress describió CVE-2026-105133 como el paso de la cadena que eludía la autenticación y CVE-2026-105134 como el que permitía ejecutar comandos con privilegios SYSTEM. La empresa situó su primera observación de explotación a las 23:20:15 UTC del 7 de octubre de 2026 y dijo que había observado cinco organizaciones atacadas hasta el 8 de octubre. Esa cifra corresponde al seguimiento de Huntress, no a un recuento global. Su informe sobre los ataques a AhsayCBS recoge esas observaciones.