Op 14 oktober 2026 voegde CISA vier kwetsbaarheden toe aan de catalogus Known Exploited Vulnerabilities (KEV), op basis van bewijs van actieve exploitatie. Het gaat om fouten in Palo Alto Networks PAN-OS, Cisco Secure Email Gateway en AhsayCBS: CVE-2026-0322, CVE-2026-76519, CVE-2026-105133 en CVE-2026-105134.

Voor wie geldt BOD 26-04?

CISA zegt dat Binding Operational Directive 26-04 geldt voor agentschappen van de Amerikaanse Federal Civilian Executive Branch (FCEB). Andere organisaties moedigt de instantie aan KEV-kwetsbaarheden risicogestuurd prioriteit te geven. De richtlijn is dus gericht op die Amerikaanse federale agentschappen.

De kwetsbaarheden in PAN-OS, Cisco en AhsayCBS

CVE-2026-0322 betreft code-injectie in de beheerinterface van PAN-OS. Volgens Help Net Security kan een aangemelde aanvaller met netwerktoegang daardoor willekeurige code met rootrechten op de firewall uitvoeren.

CVE-2026-76519 is een kwetsbaarheid voor relatieve padtraversal in Advanced Malware Protection (AMP) van Cisco Secure Email Gateway. Help Net Security meldt dat de kwetsbaarheid speelt bij een kwetsbare AsyncOS-versie wanneer File Reputation is ingeschakeld en aan een mailbeleid is toegewezen, en Content Scanner Tools ouder is dan 25.3.0.5525. Een speciaal gemaakte e-mailbijlage via het getroffen apparaat is de gemelde aanvalsr route. NeoTeo schreef eerder over CVE-2026-76519 in Cisco Secure Email Gateway. Help Net Security

CISA omschrijft CVE-2026-105133 als een fout in de authenticatie van AhsayCBS en CVE-2026-105134 als command injection. Huntress beschrijft hoe de twee fouten in de waargenomen aanvalsketen samen werden gebruikt: eerst om authenticatie te omzeilen, daarna om code uit te voeren met SYSTEM-rechten.

Ahsay geeft vervangende hotfixversies op

In een melding van 12 oktober zei Ahsay dat eerdere patches, v9.15.2.59 en v10.3.4.0, de twee AhsayCBS-kwetsbaarheden niet volledig hadden verholpen. Voor getroffen installaties van v10 adviseert Ahsay hotfix v10.3.4.45; voor getroffen installaties van v7, v8 en v9 is dat v9.15.2.70. Na installatie moet de server opnieuw worden opgestart. De hotfixes zijn via het partnerportaal te downloaden met een geldige partnerlogin. Ahsay

Huntress nam de exploitatie van de AhsayCBS-fouten voor het eerst waar op 7 oktober 2026 om 23.20.15 UTC. Op 8 oktober meldde het bedrijf dat het vijf organisaties als doelwit had gezien. Huntress