Zero-day w Cisco, Palo Alto i Ivanti: co załatać w firmie

Napastnicy wykorzystują dziś luki typu zero-day w czterech produktach, które stoją na styku firmowej sieci z internetem. Chodzi o bramkę pocztową Cisco Secure Email Gateway, zapory Palo Alto, bramę VPN Ivanti Connect Secure i Nextclouda z wbudowanym serwerem Collabora. W trzech przypadkach do ataku nie trzeba ani loginu, ani hasła. W najgroźniejszym, u Cisco, wystarczy jeden e-mail z załącznikiem. Amerykańska agencja CISA dopisała luki w Cisco, Palo Alto i Ivanti do katalogu podatności wykorzystywanych w atakach 13 i 14 października 2026 roku. Luka w Nextcloudzie w katalogu jeszcze nie jest, choć administratorzy zgłaszają przez nią włamania od 10 września.

Która luka zero-day dotyczy twojej firmy: tabela

Zero-day to luka, którą napastnicy wykorzystują, zanim producent wyda na nią poprawkę. Tabela zbiera to, co trzeba wiedzieć o każdej z nich. Wersje i warunki pochodzą z komunikatów producentów, CISA i GitHuba z 12-14 października.

Ahsay to oprogramowanie do kopii zapasowych, z którego korzystają głównie firmy świadczące usługi backupu. Producent przyznał 12 października, że wcześniejsze poprawki 9.15.2.59 i 10.3.4.0 nie zamknęły obu luk. Dwie luki łączą się w łańcuch: obejście uwierzytelnienia i wykonanie poleceń na serwerze. Na stronie CERT Polska do rana 15 października nie było wpisu o żadnej z tych luk.

Cisco Secure Email Gateway: jeden e-mail wystarczy

Luka CVE-2026-76519 pozwala przejąć bramkę pocztową Cisco wiadomością, która tylko przez nią przechodzi. Napastnik wysyła e-mail ze spreparowanym załącznikiem. Bramka sprawdza go w usłudze File Reputation i przy tym zapisuje pliki tam, gdzie wskaże atakujący. Według Cisco kończy się to wykonaniem poleceń z uprawnieniami roota. Firma dowiedziała się o atakach w październiku, a samą lukę znalazła we własnym skanowaniu.

Poprawka przychodzi w pakiecie Content Scanner Tools i nie wymaga restartu. Kto ma włączone automatyczne aktualizacje tego pakietu, nie musi nic robić. Kto je wyłączył i nie wgrał poprawionego AsyncOS, zostaje z podatną bramką, choć system wygląda na aktualny. Wersję sprawdzisz w wierszu poleceń bramki: contentscannerstatus, a ręczną aktualizację uruchomisz poleceniem contentscannerupdate.

Ślady ataku Cisco każe szukać poleceniem grep "System Security" system_logs na każdym urządzeniu w klastrze. Sam producent zastrzega jednak, że napastnik z uprawnieniami roota może je usunąć. Czysty wynik niczego więc nie dowodzi. Trzeba przejrzeć logi zapory i sieci poza urządzeniem, szukając wysyłek z bramki na obce adresy. Jeśli przejęte urządzenie należało do klastra, Cisco zaleca przywrócić bezpieczną konfigurację każdego jego członka, bo napastnik mógł zabrać klucze SSH, którymi urządzenia uwierzytelniają się nawzajem. Klientów wersji chmurowej Cisco zabezpieczył sam i kontaktuje się z tymi, u których widzi ślady.

Pierwsza Misja AI · Kodożercy

Zagrożenia AI rozumie ten, kto wie, jak ona działa

Kurs Pierwsza Misja AI ma osobną lekcję o ciemnej stronie AI: halucynacje, deepfakes, manipulacja. Zanim zaczniesz się bać, zacznij rozumieć.

Poznaj pełny program →

Palo Alto PAN-OS: luka w interfejsie zarządzania zapory

CVE-2026-0322 to luka w interfejsie zarządzania zapór Palo Alto, która daje wykonanie kodu jako root. Warunek jest istotny: atakujący musi się zalogować i mieć konto z wysokimi uprawnieniami. Dlatego ocena wynosi 8,6, przy 9,8 dla luki w Cisco. Palo Alto Networks pisze o “bardzo ograniczonym” wykorzystaniu w atakach i nie podaje, kto atakuje.

Luka dotyczy PAN-OS na sprzętowych zaporach PA-Series, wirtualnych VM-Series i na Panoramie. Usługi chmurowe Cloud NGFW i Prisma Access nie są podatne. Obejścia nie ma, a sygnatury Threat Prevention dają według producenta tylko ograniczoną ochronę i wymagają odszyfrowania ruchu do interfejsu zarządzania. Poprawki są w gałęziach 10.2, 11.1, 11.2, 12.1 i 12.2, każda w kilku wariantach, więc numer trzeba dobrać z tabeli w komunikacie. Wersja 11.2.16 miała się ukazać 15 października, ale dla 11.2 są też starsze poprawione wydania z dopiskiem -h.

Najwięcej daje bezpłatna zmiana konfiguracji: Palo Alto od lat zaleca, żeby interfejs zarządzania był dostępny tylko z zaufanych adresów wewnętrznych. Producent pisze wprost, że ryzyko jest najwyższe, gdy panel otwiera się z internetu. Taka zapora z kontem administratora o słabym albo wykradzionym haśle jest najgorszym przypadkiem.

Ivanti Connect Secure: poprawka jest, ale nie na wszystko

Brama VPN Ivanti Connect Secure ma łańcuch trzech luk, z których producent załatał dwie. Atak opisała firma Volexity, która badała włamanie u jednego klienta. Napastnicy od 3 października atakowali urządzenie w wersji 22.8R2.4, w pełni załatanej w chwili ataku. Obejście uwierzytelnienia i zdalne wykonanie kodu mają wspólny numer CVE-2026-104935 i poprawkę z 13 października. Trzecia luka, która podnosi uprawnienia do roota, poprawki jeszcze nie ma. Ivanti ma ją wydać w ciągu kilku tygodni.

Po włamaniu napastnicy wykradli z urządzenia hasła do usługi katalogowej i szukali w Active Directory haseł LAPS oraz kluczy odzyskiwania BitLockera. Próbowali też zgadywać hasła do kont domenowych. Potem wycinali swoje wpisy z logów i pracowali tylko w pamięci urządzenia. Narzędzie Ivanti Integrity Checker, które sprawdza zmiany na dysku, takiego włamania nie wykryje. Według Volexity trzeba badać pamięć urządzenia i ruch sieciowy.

CISA przy podejrzeniu włamania zaleca cztery kroki z procedury Ivanti:

1. Zrobić kopię konfiguracji urządzenia.
2. Przywrócić ustawienia fabryczne i zaktualizować do najnowszej wersji, a instancję w chmurze lub wirtualną odbudować od zera.
3. Wgrać konfigurację z kopii.
4. Zmienić hasła wszystkich kont, także domenowych, administratorskich i lokalnych, unieważnić i wydać na nowo certyfikaty oraz zmienić klucze API i dane logowania do serwera licencji.

Gałąź 22.8 kończy życie 31 stycznia 2027 roku.

Nextcloud z Collabora: miesiąc ataków przed komunikatem

Luka CVE-2026-110447 dotyczy tylko jednej konfiguracji Nextclouda: z aplikacją “Collabora Online – Built-in CODE Server”, czyli edytorem dokumentów uruchamianym na tym samym serwerze. Samodzielne serwery Collabora Online nie są podatne. Atak przez plik proxy.php uruchamia polecenie systemowe na prawach serwera WWW. Działa tylko wtedy, gdy wbudowany serwer CODE nie pracuje, na przykład po restarcie kontenera, w trakcie aktualizacji albo po awarii.

Komunikat Collabora ukazał się 14 października. Poprawiona wersja 26.4.303 była gotowa od 11 września. Tego samego dnia administrator, który utrzymuje kilka serwerów Nextclouda, zgłosił na GitHubie udane włamania przez tę aplikację, widoczne w logach od 10 września. Pod zgłoszeniem kolejni administratorzy opisywali podrzucone pliki PHP o nazwach zaczynających się od shx. Opiekun projektu radził wtedy zaktualizować aplikację i usunąć te pliki. Przez ponad miesiąc nie było jednak ani numeru CVE, ani formalnego komunikatu bezpieczeństwa. Kto nie czytał zgłoszeń na GitHubie, nie miał skąd wiedzieć, że aktualizacja jest pilna.

Collabora zastrzega, że samo wyłączenie aplikacji nie wystarcza. Trzeba ją zaktualizować albo usunąć. Nextcloud 29 i starsze nie są już wspierane, więc tam pomaga tylko aktualizacja całego Nextclouda albo usunięcie aplikacji. Przy nowszej wersji 26.4.402 część administratorów zgłaszała na GitHubie, że Nextcloud Office nie otwiera dokumentów. Cofnięcie do 26.4.303 też zostawia lukę zamkniętą.

Co zrobić dziś w firmowej sieci

Najpierw zabezpiecz urządzenia, które da się zaatakować bez logowania: bramka Cisco, VPN Ivanti, Nextcloud z wbudowanym CODE i serwer AhsayCBS, jeśli jego panel jest dostępny z internetu. Potem zapory Palo Alto, gdzie atak wymaga konta z wysokimi uprawnieniami. Aktualizacja nie usuwa napastnika, który wszedł przed jej instalacją.

Przy Cisco i Ivanti producenci każą po włamaniu wymienić hasła, klucze i certyfikaty, bo napastnicy celowali właśnie w nie. W firmie z Active Directory oznacza to także sekrety poza samym urządzeniem: hasła lokalnych administratorów z LAPS i klucze BitLockera. Logi warto oglądać na zewnętrznym serwerze, bo te na przejętym urządzeniu mogły zostać przycięte. Podobny schemat, czyli komunikat, poprawka i dalsze ataki, opisywaliśmy przy luce w bramce pocztowej FortiMail i lukach w Citrix NetScaler.

Tego samego tygodnia Microsoft załatał zero-day w powłoce Windows, który też trafił do katalogu CISA. Szczegóły i numery KB są w tekście o październikowej aktualizacji Windows.

{ dla firm }

Co możemy zrobić dla Twojej firmy?

Budujemy strony, sklepy i aplikacje, łączymy systemy z KSeF i księgowością, wdrażamy automatyzacje i agentów AI, a na koniec dbamy o widoczność w Google. Zaczynamy od rozmowy o tym, co dziś zabiera Twojemu zespołowi najwięcej czasu.

strony i sklepyaplikacjeKSeF i integracjeautomatyzacjeagenci AISEO

Zobacz, co robimy dla firm → Software house, który prowadzi ten blog

Najczęstsze pytania

Czy termin CISA 17 października obowiązuje polskie firmy?

Nie. Termin wynika z dyrektywy BOD 26-04 i wiąże federalne agencje cywilne w USA. Dla Ivanti przypadał 16 października, dla Cisco, PAN-OS i Ahsay 17 października. Dla polskiego administratora katalog CISA jest jednak dobrym sygnałem, że luka nie jest teoretyczna. Przy czterech z pięciu październikowych wpisów CISA wymaga od agencji nie tylko poprawki, ale też sprawdzenia, czy system nie został już przejęty.

Czy aktualizacja wystarczy, jeśli urządzenie mogło być już zaatakowane?

Nie. Poprawka zamyka lukę, ale nie usuwa skutków włamania sprzed jej instalacji. Cisco przy wirtualnej bramce zaleca postawić nową maszynę z poprawioną wersją i odtworzyć konfigurację ręcznie. Przy urządzeniu fizycznym każe zgłosić się do wsparcia technicznego. Przy Ivanti CISA zaleca reset fabryczny i zmianę wszystkich haseł.

Podsumowanie

W połowie października 2026 roku w atakach są luki w czterech produktach na brzegu firmowej sieci, a do tego w serwerze kopii zapasowych Ahsay. Bramkę Cisco Secure Email Gateway można przejąć jednym e-mailem, jeśli działa File Reputation, a Content Scanner Tools jest starszy niż 25.3.0.5525. Zapora Palo Alto wymaga od napastnika konta z wysokimi uprawnieniami, więc chroni ją przede wszystkim odcięcie panelu od internetu. Ivanti ma poprawkę na dwie z trzech luk w łańcuchu, a trzecia czeka na łatkę. Nextcloud z wbudowanym Collabora był atakowany od 10 września i wymaga wersji 26.4.303 albo usunięcia aplikacji. Zaktualizuj urządzenia z tabeli, sprawdź logi poza nimi i wymień hasła oraz klucze tam, gdzie mogło dojść do włamania.

Mateusz Wojdalski

Specjalista SEO i content marketingu w Devstock. Zajmuję się strategią treści, automatyzacją procesów marketingowych i wdrożeniami AI w codziennej pracy. Badam nowe narzędzia, adaptuję je do realnych zadań i piszę o tym, co faktycznie działa.