На 14 октомври Cisco обяви CVE-2026-76519: в Secure Email Gateway с включен File Reputation писмо с подготвен прикачен файл записва файлове и пуска команди с root права, без вход. Cisco казва, че дупката вече се експлоатира. Същия ден CISA вписа в каталога и CVE-2026-0322 в PAN-OS, която иска влязъл нападател с високи права.
- 14 октомври 2026: Cisco публикува бюлетин за CVE-2026-76519 (CVSS 9.8, Critical) в Cisco Secure Email Gateway. Неавтентикиран отдалечен нападател праща писмо с подготвен прикачен файл и може да записва файлове и да пуска команди с root права.
- Условията са две: File Reputation е включен и вързан към пощенска политика, а Content Scanner Tools е по-стар от 25.3.0.5525. Заобиколно решение няма. Поправка: 15.5.5-014, 16.5.0-780 или Content Scanner Tools 25.3.0.5525 и по-нов, без рестарт.
- Същия ден CISA вписа в каталога и CVE-2026-0322 в PAN-OS: изпълнение на код в интерфейса за управление с root права, но от влязъл нападател. Palo Alto Networks съобщава за много ограничена експлоатация. Срокът на CISA и за двете е 17 октомври.
Започни с една отметка. В управлението на шлюза, под Advanced Malware Protection, пише „Enable File Reputation“. Сложена ли е, мини на втората проверка: версията на Content Scanner Tools. Ако и тя е под 25.3.0.5525, шлюзът е засегнат.
Това е същият шлюз, който Cisco закърпи преди месец. Пак едно писмо, пак root, пак без вход и без заобиколно решение. Друга е вратата: този път през прикачения файл, който шлюзът проверява за зловреден код.
Има и добра новина. Поправката не чака обновяване на целия софтуер: пътува и като пакет за Content Scanner Tools, без рестарт. Ако автоматичните обновявания са включени, след като пакетът дойде, нямаш какво да правиш. Ако си ги изключил, командата е contentscannerupdate.
Журналът е отделна работа. В system_logs търсиш редовете „System Security“, на всеки шлюз, ако са в клъстер. Има ли следа, не бързай с обновяването: за виртуалния уред Cisco казва първо да се запазят данните за разследване, защото обновяването на пробит екземпляр ги унищожава.
Останалото е като преди месец. Ако нападателят е стигнал до root, може да е изтрил следите си, затова Cisco съветва да се сверят и дневниците на защитната стена и мрежата около устройството. А в клъстер SSH ключовете между шлюзовете може вече да са у него и Cisco съветва да се възстанови всеки член на клъстер с поне едно пробито устройство.
PAN-OS е по-тесен случай. Нужен е нападател, влязъл с високи права, и достъп до интерфейса за управление. Рискът е най-голям, когато интерфейсът се вижда от интернет; Palo Alto Networks съветва достъпът да е само от доверени вътрешни адреси. Поправените версии са в таблицата на бюлетина, например 12.2.4, 11.2.16 или 10.2.18-h12.
Дупката преди месец не питаше за настройки. Тази пита, и отговорът стои в една отметка и един номер на версия.