米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、新たに4件の脆弱性を「既知の悪用された脆弱性（KEV）カタログ」に追加しました。
- CVE-2026-0322：Palo Alto Networks PAN-OSの管理インターフェースに存在する、深刻度「高」のリモートコード実行（RCE）の脆弱性
- CVE-2026-76519：Cisco Secure Email Gateway（SEG）に存在する、深刻度「重大」の相対パストラバーサルの脆弱性
- CVE-2026-105133（深刻度「中」の不適切な認証の脆弱性）およびCVE-2026-105134（深刻度「重大」のコマンドインジェクションの脆弱性）：いずれもAhsayのAhsayCBSに存在
CISAは、実際に悪用されている証拠を確認したうえでこれらを追加し、米連邦政府の文民機関に対して、3日後の2026年10月17日までに対処するよう求めています。
CISAは「この種の脆弱性は、悪意あるサイバー攻撃者が頻繁に狙う攻撃経路であり、連邦政府機関に重大なリスクをもたらします」と警告しています。
CVE-2026-0322について
CVE-2026-0322は、Palo Alto Networks PAN-OSの管理インターフェースに存在する脆弱性です。ネットワークにアクセスできる認証済みの攻撃者が、ファイアウォール上でroot権限による任意のコードを実行できる恐れがあります。
影響を受けるのは、PA-SeriesおよびVM-Seriesのファイアウォールと、Panoramaです。Cloud NGFWとPrisma Accessは影響を受けません。
この脆弱性のCVSSスコアは8.6で、Palo Alto Networksは緊急度を最高に設定しています。同社は「Palo Alto Networksの管理インターフェースを狙った悪用は、ごく限定的に確認されています」としています。同社のアドバイザリーには、攻撃の試行に関連する3つのIPアドレスが掲載されています。
修正版はPAN-OS 10.2、11.1、11.2、12.1、12.2向けに提供されています。PAN-OS 11.2.16は10月15日に公開される予定です。サポート対象外の古いバージョンを使用している場合は、サポート対象の修正版へのアップグレードが必要です。
同社は「この問題に対する既知の回避策はありません」としたうえで、管理インターフェースへのアクセスを信頼できる内部IPアドレスに限定すれば、リスクを抑えられると説明しています。
アドバイザリーには「Threat Preventionによる検知範囲には限りがあります。現在のThreat IDで既知の攻撃パターンは特定できますが、現時点では検知できない亜種が存在する可能性があります。このCVEと、影響を受ける要因となる設定が自社環境に該当する場合は、影響を受けないバージョンへのアップグレードを推奨します」と記されています。
この脆弱性は、Palo Alto Networksのスラージ・シッダルダ（Suraj Siddharudh）氏が社内で発見しました。
CVE-2026-76519について
CVE-2026-76519は、Cisco Secure Email GatewayのAdvanced Malware Protection（AMP）機能に存在する相対パストラバーサルの脆弱性です。ファイルレピュテーションサービスが有効な場合に、メールの添付ファイルが適切に処理されないことが原因です。
Ciscoは「攻撃者は、細工した添付ファイルを含むメールを、影響を受けるデバイス経由で送信することで、この脆弱性を悪用する可能性があります。悪用に成功すると、任意のファイルの書き込みや、基盤となるオペレーティングシステム上でのroot権限によるコマンド実行が可能になる恐れがあります」と警告しています。
この脆弱性のCVSSスコアは9.8で、社内のセキュリティスキャン中に見つかりました。同社は「2026年10月、Cisco PSIRTはこの脆弱性が実際に悪用されていることを把握しました」と記しています。
影響を受けるのは、脆弱なバージョンのCisco AsyncOS Softwareを実行している物理・仮想のCisco Secure Email Gatewayアプライアンスです。ただし、次の2つの条件を満たす場合に限られます。
- Cisco AMPの一部であるFile Reputationサービスが有効で、メールポリシーに割り当てられている
- Content Scanner Toolsのバージョンが25.3.0.5525より前である
Ciscoは、root権限を得た攻撃者が悪用の痕跡を削除または隠蔽する可能性があると警告しています。管理者に対しては、デバイス外部のネットワークログやファイアウォールログで不審なアクティビティーがないか確認するよう勧めています。外部IPアドレスへの想定外のアップロードなどが確認対象です。
Ciscoは「この脆弱性に対処できる回避策はありません」としています。
同社は、16.5より古いAsyncOSリリースを使用している顧客に対し、リリース16.5.0-780への移行を推奨しています。また、ライセンスを持つサポート対象のすべてのAsyncOSリリースでは、Content Scanner Toolsバージョン25.3.0.5525以降で修正が提供されています。こちらはソフトウェアのアップグレードも再起動も不要です。
CVE-2026-105133、CVE-2026-105134について
Ahsayは、AhsayCBSの2件の脆弱性について以前公開したパッチを適用したバックアップサーバーの運用者も、依然として危険にさらされていたことを認めました。攻撃者はこれらの脆弱性を悪用し、インターネットに公開されたサーバーにウェブシェルや暗号資産マイナーを仕込んでいます。
AhsayCBSは、Ahsayのバックアップソフトウェアの管理コンソールです。主にマネージドサービスプロバイダー（MSP）やシステムインテグレーターが、ユーザーの作成・管理やバックアップポリシーの設定に使用しています。
この攻撃をブログ記事で10月8日に報告したHuntressの研究者によると、攻撃者は2つの脆弱性を連鎖させて標的のシステムに侵入しています。研究者は「まず、CVE-2026-105133で認証を回避します」と説明しています。その後、CVE-2026-105134を使って、SYSTEM権限でサーバー上のコードを実行します。
Ahsayは10月12日付のセキュリティアラートで、以前のパッチ（v9.15.2.59およびv10.3.4.0）ではCVE-2026-105133とCVE-2026-105134を完全には修正できていなかったことを認めました。
同社はリスクの深刻さを挙げ、パートナーに対して「直ちに対応し、環境と顧客のデータを保護してください」と呼びかけています。
v10系を使用している組織はAhsayCBS v10.3.4.45のホットフィックスを、v7、v8、v9系を使用している組織はv9.15.2.70を適用する必要があります。いずれもAhsayのパートナーポータルから入手でき、同社は適用後にサーバーを再起動するよう求めています。
同じ日、Huntressはブログ記事を更新しました。自社の検証で、10.3.4.45のホットフィックスが、従来のv10系で塞がれていなかった攻撃チェーンの最初の侵入口を封じることを確認したと伝えています。
