Em 14 de outubro de 2026, a CISA adicionou quatro vulnerabilidades ao catálogo Known Exploited Vulnerabilities (KEV), que reúne falhas com evidências de exploração ativa. Os registros afetam três famílias de produtos: PAN-OS, da Palo Alto Networks; Cisco Secure Email Gateway; e AhsayCBS. O alerta da CISA lista as quatro CVEs e explica o alcance da diretriz BOD 26-04.

A CISA associou cada CVE a estes produtos e tipos de vulnerabilidade:

  • CVE-2026-0322: injeção de código na interface de gerenciamento do PAN-OS.
  • CVE-2026-76519: travessia de caminho relativo no Cisco Secure Email Gateway.
  • CVE-2026-105133: falha de autenticação no AhsayCBS.
  • CVE-2026-105134: injeção de comandos no AhsayCBS.

A Help Net Security detalhou as condições técnicas dos dois primeiros casos. Para a CVE-2026-0322, a reportagem descreve um atacante autenticado com acesso à rede capaz de executar código arbitrário com privilégios de root. A CVE-2026-76519 envolve o recurso Advanced Malware Protection (AMP) e, segundo a publicação, afeta configurações com File Reputation habilitado e associado a uma política de e-mail, além de Content Scanner Tools anterior à versão 25.3.0.5525. A análise da falha da Cisco também está na cobertura anterior da NeoTeo. A reportagem da Help Net Security traz os detalhes técnicos e as medidas de correção relatadas.

Para o Cisco Secure Email Gateway, a Help Net Security relata que instalações licenciadas e com suporte podem receber a correção ao atualizar o Content Scanner Tools para 25.3.0.5525 ou posterior. Para versões do AsyncOS anteriores à 16.5, a publicação aponta a migração para 16.5.0-780.

O que a BOD 26-04 exige

A BOD 26-04 se aplica às agências do Poder Executivo Civil Federal dos Estados Unidos (FCEB, na sigla em inglês). A CISA incentiva as demais organizações a priorizar vulnerabilidades do KEV com uma gestão de riscos baseada no contexto de cada ambiente. A diretiva federal, portanto, não estabelece uma obrigação geral para empresas brasileiras ou para todas as organizações.

Correções para o AhsayCBS e atividade observada

Em um alerta publicado em 12 de outubro, a Ahsay informou que os patches v9.15.2.59 e v10.3.4.0 não corrigiam completamente as duas falhas do AhsayCBS. Para instalações afetadas na versão 10, a empresa indicou o hotfix v10.3.4.45; para instalações afetadas nas versões 7, 8 e 9, indicou o v9.15.2.70. A Ahsay orienta reiniciar o servidor após aplicar o hotfix; os downloads exigem acesso válido ao portal de parceiros. O alerta da Ahsay reúne as instruções e as versões indicadas.

A Huntress descreveu as duas vulnerabilidades em uma cadeia de ataque: a CVE-2026-105133 permite contornar a autenticação e a CVE-2026-105134 possibilita execução de código com privilégios SYSTEM. A empresa disse ter observado exploração pela primeira vez em 7 de outubro de 2026, às 23h20min15s UTC, e ter identificado cinco organizações atingidas até 8 de outubro. Esses números correspondem às observações da Huntress. O relato da empresa detalha a atividade observada contra o AhsayCBS.