CISA KEV: Ahsay, Cisco a PAN-OS pod útoky

Čtyři přírůstky katalogu CISA KEV se týkají zálohovacího systému AhsayCBS, e-mailové brány Cisco a správy firewallů Palo Alto Networks. U Ahsay původní opravy nestačily, u Cisco může škodlivá příloha napadnout samotnou bránu při zpracování pošty.

V AhsayCBS tvoří CVE-2026-105133 a CVE-2026-105134 řetězec, který může spojit obejití přihlášení se spuštěním příkazů operačního systému. První chyba se týká ověřování v API a umožňuje vzdálené obejití autentizace. Druhá zasahuje komponentu Replication Receiver, která přijímá replikované zálohy, a umožňuje vložení systémových příkazů. Záznamy CVE od organizace VulDB uvádějí skóre CVSS 3.1 7,3 pro chybu autentizace a 10,0 pro spouštění příkazů. CISA obě chyby zařadila do KEV 14. října 2026 a výslovně upozorňuje na možnost jejich spojení.

Pro nápravu je podstatné aktualizované oznámení Ahsay z 12. října: verze 9.15.2.59 a 10.3.4.0 zranitelnosti neodstranily úplně. Výrobce požaduje hotfix 10.3.4.45 pro zasažené instalace řady 10 a hotfix 9.15.2.70 pro zasažené řady 7, 8 a 9. Po instalaci má následovat restart serveru. Stažení hotfixů vyžaduje účet partnerského portálu. Starší údaj v záznamech CVE, který označuje verzi 10.3.4 za opravenou, proto nestačí jako podklad k uzavření problému.

CVE-2026-76519 v Cisco Secure Email Gateway má podle výrobce skóre CVSS 3.1 9,8. Chyba v ochraně Advanced Malware Protection umožňuje neautentizovanému útočníkovi zaslat speciálně vytvořenou přílohu a dosáhnout zápisu souborů i spouštění příkazů s oprávněními root. Ohrožena jsou fyzická i virtuální zařízení se zranitelným AsyncOS, zapnutou službou File Reputation přiřazenou poštovní politice a Content Scanner Tools staršími než 25.3.0.5525. Útok nevyžaduje otevření přílohy příjemcem.

Opravu obsahují AsyncOS 15.5.5-014 a 16.5.0-780; řada 16.0 vyžaduje přechod na opravené vydání. Samostatná aktualizace Content Scanner Tools na 25.3.0.5525 nebo novější nevyžaduje restart ani upgrade systému. Cisco ji již nasadilo do Secure Email Cloud Gateway; kontaktovaní zákazníci s podezřením na kompromitaci však mají řešit obnovu a výměnu přístupových údajů.

Cisco potvrzuje aktivní zneužívání a upozorňuje, že útočník s právy root může skrýt stopy. Doporučuje proto kontrolovat i externí síťové záznamy. U podezřelé virtuální instance má před obnovou přednost zachování forenzních podkladů, protože upgrade může zničit záznamy. Následuje nové nasazení bez importu staré konfigurace a výměna přihlašovacích údajů a kryptografického materiálu. U fyzického zařízení je třeba kontaktovat podporu TAC; při napadení člena clusteru řešit obnovu celého clusteru.

CVE-2026-0322 v administračním rozhraní PAN-OS umožňuje přihlášenému útočníkovi se síťovým přístupem spouštět kód s oprávněními root. Výrobce uvádí CVSS 4.0 8,6 pro scénář s rozhraním dostupným z internetu; hodnocení počítá s vysokými požadovanými oprávněními. Palo Alto Networks zaznamenalo omezené aktivní zneužívání. Dotčeny jsou firewally PA-Series a VM-Series i Panorama, nikoli Cloud NGFW a Prisma Access.

Opravy zahrnují například PAN-OS 12.2.4, 12.1.10-h2, 11.2.13-h3, 11.1.16-h3 a 10.2.18-h12. Další opravené sestavení je nutné vybrat podle konkrétní větve v tabulce výrobce. Verze 11.2.16 je v oznámení zatím uvedena s plánovanou dostupností 15. října, takže ji nelze bez ověření považovat za již vydanou. Výrobce neuvádí plnohodnotné náhradní řešení. Omezení správy na důvěryhodné interní adresy nebo vyhrazený přístupový server riziko snižuje, ale opravu nenahrazuje. Také Cisco a PAN-OS přibyly do KEV 14. října.