Le 14 octobre 2026, la CISA a ajouté quatre vulnérabilités à son catalogue KEV (Known Exploited Vulnerabilities), qui recense les failles exploitées connues. Elles concernent PAN-OS de Palo Alto Networks, Cisco Secure Email Gateway et AhsayCBS. La CISA a fondé ces ajouts sur des preuves d’exploitation active. Son alerte détaille les quatre CVE.

Quatre CVE dans trois familles de produits

  • CVE-2026-0322, dans l’interface d’administration de PAN-OS, est une faille d’injection de code. Help Net Security rapporte qu’un attaquant authentifié disposant d’un accès réseau pourrait exécuter du code arbitraire avec les privilèges root. L’article indique que des correctifs existent pour les branches PAN-OS 10.2, 11.1, 11.2, 12.1 et 12.2. Help Net Security détaille la faille et les mesures de réduction du risque.
  • CVE-2026-76519, dans Cisco Secure Email Gateway, est une traversée de chemin relative liée à la fonction Advanced Malware Protection (AMP). Selon Help Net Security, le périmètre décrit suppose que File Reputation soit activé et associé à une politique de messagerie, et que Content Scanner Tools soit antérieur à la version 25.3.0.5525. Pour les versions d’AsyncOS prises en charge et sous licence, l’article rapporte une correction par mise à jour de Content Scanner Tools vers la version 25.3.0.5525 ou une version ultérieure. NeoTeo a également consacré un article à cette faille Cisco.
  • CVE-2026-105133 concerne un défaut d’authentification dans AhsayCBS ; CVE-2026-105134 est une faille d’injection de commande dans le même produit. Huntress décrit leur enchaînement dans les attaques observées : la première sert à contourner l’authentification, puis la seconde permet l’exécution de code avec les privilèges SYSTEM. Huntress a publié son analyse des attaques contre AhsayCBS.

BOD 26-04 vise les agences fédérales civiles américaines

La directive BOD 26-04 s’applique aux agences du Federal Civilian Executive Branch (FCEB), c’est-à-dire aux agences civiles de l’exécutif fédéral américain. Pour les autres organisations, la CISA recommande de prioriser les vulnérabilités du catalogue KEV dans le cadre d’une gestion des risques. L’alerte de la CISA précise ce périmètre.

Ahsay remplace deux correctifs incomplets

Dans un avis publié le 12 octobre, Ahsay a indiqué que ses correctifs précédents, v9.15.2.59 et v10.3.4.0, ne traitaient pas entièrement les deux failles d’AhsayCBS. Pour les installations concernées, l’entreprise recommande v10.3.4.45 si elles utilisent la version 10, et v9.15.2.70 pour les versions 7, 8 et 9. Ahsay demande de redémarrer le serveur après l’application du correctif ; les téléchargements nécessitent une connexion valide au portail partenaires. L’avis de sécurité d’Ahsay donne les consignes de mise à jour.

Huntress dit avoir observé pour la première fois l’exploitation des failles AhsayCBS le 7 octobre 2026 à 23 h 20 min 15 s UTC. Au 8 octobre, l’entreprise avait recensé cinq organisations ciblées dans le cadre de ses observations. Son compte rendu décrit cette activité et sa chronologie.