Trzeci tydzień października przyniósł wyjątkowo zmasowane uderzenie w urządzenia pracujące na styku sieci i w systemy dostępu zdalnego. Gdy w środę przeglądałem biuletyny bezpieczeństwa, od razu rzuciło się w oczy, że niemal wszystkie najważniejsze luki z ostatnich dni trafiły do katalogu CISA KEV z adnotacją o trwających atakach.
Mamy do czynienia z krytycznym błędem w Cisco Secure Email Gateway, gdzie zwykły załącznik pocztowy pozwala przejąć urządzenie z uprawnieniami roota, luką w panelu zarządzania Palo Alto PAN-OS, zero-dayem w BeyondTrust Remote Support wykorzystywanym przez szpiegowską grupę Armory Castle, nowymi atakami na serwery Plex Media Server z użyciem koparek XMRig, a także problemami w bramach Ivanti i urządzeniach Fortinet. Jeśli zarządzacie brzegiem sieci w firmie lub wystawiacie usługi dostępowe, ten tydzień wymaga natychmiastowego przeglądu wersji.
1. Cisco Secure Email Gateway: zdalny root przez załącznik pocztowy (CVE-2026-76519, CVSS 9.8)
Najgroźniejszą nową podatnością tego tygodnia jest błąd w bramach pocztowych Cisco Secure Email Gateway. Podatność CVE-2026-76519 otrzymała wskaźnik CVSS 3.1 na poziomie 9.8 i została zakwalifikowana jako krytyczna. Co gorsza, według informacji producenta oraz agencji CISA, błąd jest już aktywnie wykorzystywany w sieci przez napastników.
Problem tkwi w silniku Advanced Malware Protection (AMP), a dokładniej w obsłudze załączników pocztowych, gdy na bramie włączona jest usługa sprawdzania reputacji plików. Atakujący nie potrzebuje żadnych uprawnień ani konta w systemie. Wystarczy, że wyśle przez podatną bramę wiadomość ze specjalnie spreparowanym załącznikiem. Błąd względnej zmiany ścieżki (CWE-23) pozwala na zapisanie dowolnych plików w systemie operacyjnym urządzenia i wykonanie poleceń z pełnymi uprawnieniami roota.
- Identyfikator: CVE-2026-76519
- Ocena bazowa: CVSS 9.8 (Krytyczna)
- Status eksploatacji: Aktywne ataki w sieci, katalog CISA KEV
- Podatne systemy: Cisco Secure Email Gateway (AsyncOS 15.x i 16.x)
- Mitygacja: Aktualizacja AsyncOS do wersji 15.5.5-014 lub 16.5.0-780
- Źródło: Cisco PSIRT Advisory
2. Palo Alto Networks PAN-OS: wykonanie kodu w interfejsie zarządzania (CVE-2026-0322, CVSS 8.6)
Palo Alto Networks wydało w połowie tygodnia biuletyn ostrzegający przed luką CVE-2026-0322 w oprogramowaniu PAN-OS. Podatność została oceniona na 8.6 w skali CVSS 3.1. Daje ona możliwość wykonania dowolnego kodu z uprawnieniami roota na zaporze ogniowej. Agencja CISA włączyła ten błąd do katalogu KEV 14 października z uwagi na zaobserwowane próby exploitacji.
Luka występuje w interfejsie webowym zarządzania zaporą. Do jej wywołania konieczne jest uwierzytelnienie z uprawnieniami administratora, jednak w połączeniu ze skradzionymi poświadczeniami lub słabymi hasłami pozwala na pełne przejęcie kontroli nad systemem operacyjnym urządzenia. Podatność obejmuje wersje fizyczne PA-Series, wirtualne VM-Series oraz platformę zarządzania Panorama.
- Identyfikator: CVE-2026-0322
- Ocena bazowa: CVSS 8.6 (Wysoka)
- Status eksploatacji: Potwierdzone próby ataków, katalog CISA KEV
- Podatne systemy: Palo Alto PAN-OS (gałęzie 10.2, 11.1, 11.2, 12.1, 12.2)
- Mitygacja: Instalacja poprawek dostarczonych przez producenta, bezwzględne odcięcie interfejsu zarządzania od internetu
- Źródło: Palo Alto Security Advisory
3. BeyondTrust Remote Support: zero-day grupy Armory Castle (CVE-2026-102764, CVSS 9.8)
Sporym echem odbiła się publikacja firmy BeyondTrust dotycząca luki w oprogramowaniu Remote Support (dawniej Bomgar). Podatność CVE-2026-102764 otrzymała scoring CVSS 3.1 równy 9.8. Była to luka typu zero-day, wykorzystywana po cichu w ukierunkowanych atakach co najmniej od sierpnia 2026 roku przez powiązaną z Chinami grupę cyberszpiegowską Armory Castle (UNC5221).
Błąd wynika z nieprawidłowej weryfikacji pochodzenia komunikatów (CWE-290) w wewnętrznych komponentach urządzenia. Nieuwierzytelniony napastnik komunikujący się z urządzeniem przez sieć może wykonywać nieautoryzowane operacje na plikach, co prowadzi do przejęcia kontroli nad instancją i usunięcia logów w celu zatarcia śladów.
- Identyfikator: CVE-2026-102764
- Ocena bazowa: CVSS 9.8 (Krytyczna)
- Status eksploatacji: Ukierunkowane ataki APT (Armory Castle / UNC5221)
- Podatne systemy: BeyondTrust Remote Support do wersji 26.2.3 włącznie
- Mitygacja: Aktualizacja instancji on-premise do wersji 26.2.4
- Źródło: BeyondTrust Security Blog
4. Plex Media Server: aktywne ataki z użyciem Plex2Shell i koparek XMRig
W ostatnich dniach badacze bezpieczeństwa odnotowali rosnącą falę ataków na wystawione w sieci serwery Plex Media Server. Napastnicy wykorzystują łańcuch exploitów Plex2Shell, łączący cztery podatności (CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 oraz CVE-2026-96656), który pozwala na zdalne wykonanie kodu bez logowania.
Atak rozpoczyna się od błędu SSRF w punkcie końcowym /player/timeline/subscribe, co omija uwierzytelnianie i pozwala wykonywać żądania z uprawnieniami właściciela. Następnie napastnicy zapisują plik na serwerze i nadużywają mechanizmu ładowania niepodpisanych kodeków do uruchomienia złośliwego oprogramowania. W zaobserwowanych incydentach na zhakowanych serwerach instalowano koparki kryptowalut XMRig oraz oprogramowanie proxy sprzedające pasmo internetowe ofiary.
- Identyfikatory: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655, CVE-2026-96656 (Plex2Shell)
- Skutki: Zdalne wykonanie kodu (RCE), koparki XMRig, proxy pasma
- Podatne systemy: Plex Media Server przed wersją 1.43.3.10828 (szczególnie kontenery Docker i serwery NAS)
- Mitygacja: Aktualizacja Plex Media Server do wersji 1.43.3.10861 lub nowszej, audyt procesów w systemie
- Źródło: Cyber Security News
5. Ivanti Connect Secure i Fortinet: kolejne luki w bramach VPN
Sytuację na styku sieci dopełniają nowe ostrzeżenia dotyczące bram VPN. Ivanti wydało biuletyn dla luki CVE-2026-104935 (CVSS 8.6) polegającej na obejściu uwierzytelnienia i aktywnie wykorzystywanej w sieci (CISA KEV). Z kolei w FortiOS przypomniano o podatności Path Traversal (CVE-2025-61624) powiązanej z kampanią złośliwego oprogramowania PEERSTITCH.
- Ivanti: CVE-2026-104935 (CVSS 8.6, Authentication Bypass, poprawki w 25.1.3.0 / 22.8R2.5)
- Fortinet: CVE-2025-61624 (Path Traversal w CLI, kampania PEERSTITCH)
- Źródła: Ivanti Advisory / Fortinet Advisory
Co zrobić dziś
- Cisco Secure Email Gateway: sprawdźcie wersję AsyncOS i wdróżcie poprawki 15.5.5-014 lub 16.5.0-780.
- Palo Alto PAN-OS: upewnijcie się, że interfejsy zarządzania są całkowicie odizolowane od publicznego internetu.
- BeyondTrust Remote Support: zaktualizujcie instalacje lokalne do wersji 26.2.4.
- Plex Media Server: zaktualizujcie serwery (zwłaszcza w Dockerze i na NAS) do wersji co najmniej 1.43.3.10861 i zweryfikujcie procesy potomne.
- Ivanti i Fortinet: wdróżcie zalecane przez producentów aktualizacji oprogramowania układowego.
