Агентство CISA, которое отвечает за кибербезопасность гражданских служб США, пополнило каталог Known Exploited Vulnerabilities (KEV, перечень уязвимостей с подтверждённой эксплуатацией) сразу четырьмя записями. Поводом стали свидетельства реальных атак, а не теоретическая возможность использования. В список попали межсетевые экраны Palo Alto Networks PAN-OS, почтовый шлюз Cisco Secure Email и сервер резервного копирования AhsayCBS. Записи в KEV задают федеральным агентствам США срок на устранение, обычно он измеряется неделями. Остальным организациям сигнал тоже адресован: уязвимости уже применяют в атаках, поэтому отсрочка обновления увеличивает вероятность компрометации.
Новые записи в каталоге эксплуатируемых уязвимостей CISA
PAN-OS и выполнение кода в интерфейсе управления
Уязвимость CVE-2026-0322 открывает путь к запуску произвольного кода в интерфейсе управления PAN-OS. Атакующему нужен сетевой доступ к этому интерфейсу и действующая учётная запись. При таких условиях он выполняет код с правами root, то есть получает полный контроль над устройством. Рейтинг CVSS 8.6, уровень High по классификации вендора. Затронуты межсетевые экраны PA-Series и VM-Series, а также Panorama в виртуальном исполнении и на платформе M-Series. Облачный NGFW и Prisma Access под уязвимость не попадают. Риск заметно снижается, если доступ к интерфейсу управления разрешён только с доверенных внутренних адресов: вендор называет это базовой практикой развёртывания. Запись опубликована 14 октября 2026 года. Исправления вышли в ветках 12.2.4, 12.1.10-h2, 11.2.16, 11.1.16-h3 и 10.2.18-h12.
Cisco Secure Email и запись файлов через вложение
Вторая запись касается CVE-2026-76519 в шлюзе Cisco Secure Email. Проблема кроется в модуле Advanced Malware Protection: механизм проверки вложений неверно обрабатывает вложения в письмах, когда служба репутации файлов включена. Атакующему не нужно проходить аутентификацию и иметь доступ к устройству - достаточно отправить письмо со специально подготовленным файлом. Успешная эксплуатация даёт возможность записывать произвольные файлы на уровне операционной системы, а затем выполнять команды с правами root. Рейтинг CVSS 9.8, уровень Critical. Уязвимы многочисленные сборки Cisco Secure Email веток 13.x, 14.x, 15.x и 16.x, то есть большая часть парка установок, которые не обновлялись в последние месяцы. Публикация записи - 14 октября 2026 года.
AhsayCBS и внедрение команд без аутентификации
Две оставшиеся записи касаются сервера резервного копирования AhsayCBS. Первая, CVE-2026-105134, - внедрение команд в компоненте Replication Receiver. Уязвимость позволяет удалённо и без учётных данных выполнить произвольные команды операционной системы; рейтинг CVSS 10.0, уровень Critical. Вторая, CVE-2026-105133, - нарушение аутентификации в программном интерфейсе API. Она даёт обойти проверку подлинности, рейтинг ниже: 6.9 в четвёртой версии CVSS и 7.3 в третьей. Обе уязвимости затрагивают версии 10.3.0, 10.3.1 и 10.3.2, обе раскрыты публично, готовые эксплойты уже доступны, а записи опубликованы 4 октября 2026 года. Для AhsayCBS цена ошибки особенно высока: такие серверы обслуживают резервные копии множества клиентов, поэтому компрометация одного узла открывает путь к данным сразу многих организаций.
Что делать администраторам
Межсетевые экраны PAN-OS нужно обновить до одной из исправленных сборок - 12.2.4, 12.1.10-h2, 11.2.16, 11.1.16-h3 или 10.2.18-h12 - и ограничить доступ к интерфейсу управления доверенными внутренними адресами. Шлюзы Cisco Secure Email переводят на сборку, которую вендор указал в бюллетене; до этого служебные интерфейсы устройства лучше не выставлять в интернет. AhsayCBS обновляют до версии 10.3.4, в ней обе проблемы закрыты.
Все четыре записи объединяет одно: злоумышленники выбирают пограничные устройства и системы резервного копирования. Такие узлы стоят на виду у атакующих, часто имеют доступ во внутреннюю сеть и редко обновляются с той же скоростью, что рабочие станции. Появление уязвимости в KEV означает, что проверка на практике уже пройдена - не разработчиками, а теми, кто ищет способ войти в инфраструктуру.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2026-0322
- https://www.cve.org/CVERecord?id=CVE-2026-76519
- https://www.cve.org/CVERecord?id=CVE-2026-105133
- https://www.cve.org/CVERecord?id=CVE-2026-105134
