14 października 2026 r. amerykańska Agencja ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA) dodała cztery podatności do katalogu znanych, aktywnie wykorzystywanych luk (KEV), powołując się na dowody ich wykorzystywania. W tym samym alercie CISA wyjaśniła, że dyrektywa BOD 26-04 dotyczy agencji Federal Civilian Executive Branch (FCEB), a pozostałym organizacjom zaleciła priorytetowe traktowanie wpisów KEV w ramach zarządzania ryzykiem (alert CISA z 14 października).

Cztery luki w trzech rodzinach produktów

CISA wymieniła CVE-2026-0322 w Palo Alto Networks PAN-OS, CVE-2026-76519 w Cisco Secure Email Gateway oraz CVE-2026-105133 i CVE-2026-105134 w Ahsay AhsayCBS.

  • CVE-2026-0322 to podatność typu code injection w interfejsie zarządzania PAN-OS. Według Help Net Security uwierzytelniony napastnik z dostępem sieciowym mógł wykonać dowolny kod z uprawnieniami roota. Serwis przypisał luce ocenę CVSS 8,6 i podał, że dotyczy ona urządzeń PA-Series, VM-Series oraz Panorama.
  • CVE-2026-76519 to podatność typu path traversal w funkcji Advanced Malware Protection (AMP) urządzeń Cisco Secure Email Gateway. Według Help Net Security narażona konfiguracja wymaga jednocześnie podatnego wydania Cisco AsyncOS, włączonej funkcji File Reputation przypisanej do polityki pocztowej oraz Content Scanner Tools w wersji wcześniejszej niż 25.3.0.5525. Szczegóły dotyczące tej luki opisaliśmy też w naszym wcześniejszym artykule o CVE-2026-76519.
  • CVE-2026-105133 dotyczy nieprawidłowej obsługi uwierzytelniania w AhsayCBS, a CVE-2026-105134 — wstrzykiwania poleceń w tym samym produkcie.

Help Net Security podał, że poprawki dla PAN-OS obejmują wersje 10.2, 11.1, 11.2, 12.1 i 12.2. W przypadku Cisco serwis wskazał aktualizację Content Scanner Tools do wersji 25.3.0.5525 lub nowszej dla obsługiwanych, licencjonowanych wydań AsyncOS; instalacje z AsyncOS starszym niż 16.5 mają przejść na wersję 16.5.0-780. Szczegóły dotyczące obu produktów pochodzą z relacji Help Net Security.

BOD 26-04 dotyczy agencji federalnych w USA

Zakres dyrektywy obejmuje agencje FCEB, czyli cywilne agencje federalnej władzy wykonawczej Stanów Zjednoczonych. CISA zachęca pozostałe organizacje do uwzględniania wpisów KEV w zarządzaniu podatnościami opartym na ryzyku. To zalecenie dla szerszego grona organizacji, a nie rozszerzenie zakresu BOD 26-04.

Ahsay wskazała poprawki, Huntress opisała obserwowane ataki

W alercie z 12 października Ahsay poinformowała, że wcześniejsze poprawki v9.15.2.59 i v10.3.4.0 nie usuwały w pełni problemu. Firma zaleciła aktualizację podatnych instalacji v10 do v10.3.4.45, a instalacji v7, v8 i v9 — do v9.15.2.70. Po zastosowaniu poprawki należy ponownie uruchomić serwer. Pobranie poprawek wymaga ważnego konta w portalu partnerskim Ahsay (alert Ahsay).

Huntress opisała łańcuch ataku, w którym CVE-2026-105133 służyła do obejścia uwierzytelniania, a CVE-2026-105134 umożliwiała wykonanie kodu z uprawnieniami SYSTEM. Firma podała, że po raz pierwszy zaobserwowała wykorzystywanie tych luk 7 października 2026 r. o 23:20:15 UTC; do 8 października odnotowała pięć zaatakowanych organizacji (relacja Huntress).