CISA fija un plazo de tres días para cuatro fallas explotadas en Cisco, PAN-OS y AhsayCBS

La Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA) agregó el 14 de octubre cuatro fallas al catálogo de vulnerabilidades conocidas y explotadas: CVE-2026-0322 en PAN-OS, CVE-2026-76519 en Cisco Secure Email Gateway y CVE-2026-105133 junto con CVE-2026-105134 en AhsayCBS. La inclusión confirma evidencia de explotación real; no es solo una evaluación teórica de severidad.

CISA dio a las agencias civiles federales hasta el 17 de octubre para corregirlas. Ese plazo de tres días es una señal operativa útil también para organizaciones privadas: los productos afectados ocupan posiciones de alto impacto —perímetro, correo y copias de seguridad— y una intrusión puede comprometer credenciales, configuraciones o la capacidad de recuperación.

CVE-2026-76519, con CVSS 9,8, permite que un atacante remoto sin autenticación envíe un adjunto manipulado a un Cisco Secure Email Gateway con File Reputation habilitado y Content Scanner Tools anterior a 25.3.0.5525. El resultado puede ser escritura arbitraria de archivos y ejecución de comandos como root. Cisco no ofrece una solución alternativa: distribuyó el arreglo mediante Content Scanner Tools 25.3.0.5525 y versiones corregidas de AsyncOS.

CVE-2026-0322 afecta la interfaz de administración de PA-Series, VM-Series y Panorama. Requiere credenciales con privilegios altos y acceso de red, pero permite ejecutar código como root; Palo Alto Networks observó explotación muy limitada y asignó urgencia máxima. Cloud NGFW y Prisma Access no están afectados. La reducción de exposición de la interfaz administrativa ayuda, pero el fabricante indica que no existe un workaround que sustituya la actualización.

En AhsayCBS, CVE-2026-105133 permite eludir autenticación y CVE-2026-105134 habilita inyección de comandos. Ahsay reconoció que los parches 9.15.2.59 y 10.3.4.0 no resolvían completamente las fallas y publicó los hotfixes 9.15.2.70 y 10.3.4.45. El proveedor recibió reportes de acceso no autorizado desde el 9 de octubre.

Los indicadores publicados incluyen archivos JSP con nombres aleatorios dentro de %CBS%\webapps, carpetas inusuales en la raíz del sistema, receptores RPS no autorizados y cuentas administrativas nuevas. Si aparece cualquiera de esas señales, Ahsay recomienda tratar el servidor como comprometido y reconstruirlo desde una base limpia, no limitarse a instalar el hotfix.