CISA : quatre failles exploitées dans trois produits
AhsayCBS, Cisco Secure Email Gateway et PAN-OS : quatre failles exploitées. Le NVD précise désormais les versions concernées.
Accessible
Image générée · SecuFocus
En bref
L’essentiel
Si vous faites tourner AhsayCBS, une passerelle Cisco Secure Email, ou un pare-feu PAN-OS, le catalogue les dit exploités. L’échéance inscrite est le 17 octobre. Si vous n’avez aucun de ces trois produits, cette note ne change rien.
Ce qui change
Le 15 octobre 2026, le flux JSON du catalogue des failles exploitées porte la version 2026.10.14, 1 745 entrées, publié le 14 octobre 2026 à 19 h 27 UTC. La lecture de la veille voyait encore la version 2026.10.13 et 1 741 entrées. Quatre entrées ont une date d’ajout au 14 octobre, et une échéance au 17 octobre 2026. Aucune n’est marquée connue dans une campagne de rançongiciel : le champ dit Unknown.
L’alerte CISA du 14 octobre 2026 nomme les quatre identifiants et dit qu’ils ont été ajoutés sur la base d’une exploitation active. Elle ne donne pas de version de produit. Elle rappelle que la directive BOD 26-04 vise les agences civiles fédérales américaines, et qu’elle encourage les autres organisations à traiter d’abord les entrées du catalogue. Nous n’avons pas relu le texte complet de la directive. Le 17 octobre est l’échéance inscrite. Ce n’est pas un délai que SecuFocus fixe.
Les deux entrées du 13 octobre, Ivanti Connect Secure et Windows, restent dans le flux, avec la même échéance au 16 octobre. Elles ont déjà leur note. Cette note porte sur les quatre ajouts du 14 octobre.
Le 16 octobre 2026, le même flux est en version 2026.10.15, 1 746 entrées, publié le 15 octobre 2026 à 17 h 00 UTC. Une entrée a une date d’ajout au 15 octobre : CVE-2026-21589, Atlassian. Elle a sa note. Les quatre du 14 octobre n’ont pas changé d’échéance : le 17 octobre reste inscrit. Le champ rançongiciel dit toujours Unknown. Le 17 octobre 2026, le flux est en version 2026.10.16, 1 748 entrées, publié le 16 octobre 2026 à 17 h 15 UTC. Deux entrées ont une date d’ajout au 16 octobre : CVE-2026-102764, BeyondTrust, et CVE-2025-61624, Fortinet. Elles ont leur note. Les quatre du 14 octobre n’ont pas changé d’échéance : le 17 octobre reste inscrit.
Les quatre, sans les aplatir
Ahsay AhsayCBS, deux entrées que le catalogue dit enchaînables. CVE-2026-105133 est un contournement d’authentification : un attaquant distant manipule le paramètre random de la fonction checkSysPwd. La faiblesse nommée est CWE-287. Le triage forensique dit No. CVE-2026-105134 est une injection de commande : le même type de paramètre, sur /rps/api/json/UpdateReceivers.do, dans le composant Replication Receiver. Les faiblesses nommées sont CWE-77 et CWE-78. Le triage forensique dit Yes. Les deux ont une échéance au 17 octobre.
Les deux fiches NVD, relues par l’API le 19 octobre 2026, sont au statut Analyzed et portent une dernière modification au 15 octobre. La description anglaise de cna@vuldb.com vise AhsayCBS jusqu’à 10.3.2 et recommande 10.3.4. Les configurations CPE sont désormais présentes : elles couvrent les versions antérieures à 10.3.4, sans borne de départ. La description et la plage CPE ne s’arrêtent donc pas au même numéro. Les scores CVSS 3.1 fournis par cette source restent 7,3 pour CVE-2026-105133 et 10,0 pour CVE-2026-105134 ; les scores CVSS 4.0 sont respectivement 5,5 et 9,3. Le coordinateur CISA marque les deux exploitations actives et automatisables, avec un impact technique partiel pour la première et total pour la seconde. Nous n’avons pas installé le correctif.
Cisco Secure Email Gateway, CVE-2026-76519. Le catalogue parle d’une traversée de chemin relative : un attaquant distant, sans compte, peut écrire des fichiers arbitraires. La faiblesse nommée est CWE-23. Le triage forensique dit Yes. L’échéance est le 17 octobre.
La fiche NVD est maintenant au statut Analyzed, avec une dernière modification au 15 octobre 2026. Selon la description de psirt@cisco.com, la faille touche la fonction Advanced Malware Protection lorsque le service de réputation de fichiers est activé. Un courriel contenant une pièce jointe préparée peut permettre d’écrire des fichiers et d’exécuter des commandes avec les droits root, sans compte. Le score CVSS 3.1 fourni par Cisco est 9,8. Les configurations CPE couvrent AsyncOS de 15.0 inclus à avant 15.5.5-014, puis de 16.0 inclus à avant 16.5.0-780. La première plage commence donc plus tôt que la branche 15.5.x citée par le CERT-FR. Les deux sources donnent les mêmes bornes de fin. Le coordinateur CISA marque l’exploitation active, automatisable, avec un impact technique total.
Le 15 octobre 2026, le CERT-FR publie l’avis CERTFR-2026-AVI-1325. Il vise Cisco AsyncOS pour Secure Email Gateway, versions 15.5.x antérieures à 15.5.5-014, et versions 16.x antérieures à 16.5.0-780. Il écrit que Cisco indique une exploitation active de CVE-2026-76519. Les risques nommés sont une atteinte à l’intégrité des données et une exécution de code arbitraire à distance. La solution renvoie au bulletin de l’éditeur. Nous n’avons pas ouvert cette page : elle n’est pas dans la liste. Ces bornes viennent du CERT-FR, pas d’un fichier que nous avons téléchargé.
Palo Alto Networks PAN-OS, CVE-2026-0322. Le catalogue parle d’une injection de code : un attaquant déjà authentifié, avec un accès réseau, peut exécuter du code arbitraire avec les droits root. La faiblesse nommée est CWE-94. Le triage forensique dit Yes. L’échéance est le 17 octobre. Le champ rançongiciel dit Unknown, comme pour les trois autres.
La fiche NVD est maintenant au statut Analyzed, avec une dernière modification au 15 octobre 2026. La description de psirt@paloaltonetworks.com vise l’interface d’administration de PAN-OS sur les pare-feu PA-Series et VM-Series, ainsi que Panorama, virtuel ou M-Series. Cloud NGFW et Prisma Access ne sont pas concernés selon cette description. Restreindre l’interface à des adresses internes de confiance réduit l’exposition. Le score CVSS 4.0 fourni par l’éditeur est 8,6 ; le vecteur exige des privilèges élevés. Le NVD ajoute un score CVSS 3.1 de 7,2. Les configurations CPE existent désormais : elles comprennent la plage 12.2.0 inclus à avant 12.2.4 et de nombreuses versions ou correctifs précis d’autres branches. Ce n’est pas une règle générale « tout avant 12.2.4 ». Vérifiez la branche et le correctif exacts dans la fiche. Le coordinateur CISA marque l’exploitation active, non automatisable, avec un impact technique total.
Le 15 octobre 2026, l’avis CERTFR-2026-AVI-1326 dit que Palo Alto Networks indique que CVE-2026-0322 est activement exploitée. La liste des systèmes affectés couvre un lot de nombreux identifiants, pas seulement celui-ci. Cet avis signale un correctif en attente pour PAN-OS 11.2.6 ; la configuration CPE de CVE-2026-0322 nomme aussi cette version comme vulnérable. Nous n’attribuons pas chaque ligne de version à CVE-2026-0322. Nous n’avons pas ouvert la page Palo Alto.
Ce que nous n’avons pas vérifié
Nous n’avons pas installé AhsayCBS, une passerelle Cisco Secure Email, ni un pare-feu PAN-OS. Nous n’avons pas envoyé de courriel piégé, ni rejoué les identifiants. « Exploité » vient de l’ajout au catalogue, de l’alerte du 14 octobre, et du marquage du coordinateur CISA dans les fiches NVD. Ce n’est pas un contrôle SecuFocus. Unknown dans le champ rançongiciel ne prouve pas l’absence d’une campagne.
Nous n’avons pas ouvert les pages Ahsay, Cisco et Palo Alto : elles ne sont pas dans la liste autorisée. Les versions décrites ici viennent du NVD et des avis CERT-FR. Les configurations CPE précisent les produits et versions associés à chaque faille, mais ne prouvent ni qu’un correctif est installé chez vous ni que l’équipement n’a pas été compromis. Aucun de ces éléments ne remplace un contrôle de votre déploiement.
Le choix
Si vous administrez l’un de ces produits, vérifiez votre version et appliquez les mesures de l’éditeur. Pour AhsayCBS, les deux configurations NVD couvrent les versions antérieures à 10.3.4. Pour Cisco, vérifiez aussi les versions d’AsyncOS à partir de 15.0 : le NVD ne limite pas sa première plage à 15.5.x. Les bornes de fin sont 15.5.5-014 et 16.5.0-780 selon la branche. Le service de réputation de fichiers doit être activé pour le scénario décrit.
Pour PAN-OS et Panorama, limitez l’accès à l’administration et examinez la version et le correctif exacts, pas seulement le numéro de branche. Le vecteur du bulletin exige un compte à privilèges élevés. La liste NVD est désormais propre à CVE-2026-0322, contrairement au lot de versions de l’avis CERT-FR. L’échéance fédérale inscrite pour les quatre failles reste le 17 octobre ; ce n’est pas un délai accordé par SecuFocus. Si aucun de ces produits n’est utilisé chez vous, cette alerte ne demande pas d’action sur vos appareils.
Vérifier, approfondir
Les sources de cet article
Les numéros relient chaque référence aux passages qui l’utilisent. La date indique quand la documentation a été consultée.
Cet article s’appuie sur les sources ci-dessus. Les exercices proposés sont à réaliser sur vos appareils ; SecuFocus ne les présente pas comme des essais menés par la rédaction. Les interfaces et les fonctions peuvent changer. Méthode et corrections.
Citer cet article
Pour retrouver cette lecture ou la partager avec sa référence.