Patch Tuesday octombrie 2026: un record de peste 1.400 de vulnerabilități, dar prioritatea e la echipamentele de margine exploatate: Ivanti și Cisco

• SecurityWeek și CyberScoop raportează 1.413 vulnerabilități (1.102 Windows, 134 Office, 61 instrumente pentru dezvoltatori, 36 SharePoint Server) și o depășire a recordului anual anterior al Microsoft, 1.261 din 2020, potrivit CyberScoop.
• BleepingComputer numără 1.411 și 70 de critice, doar cele lansate chiar în ziua de Patch Tuesday, fără 348 de defecte corectate mai devreme în octombrie. CCB Belgia dă 1.407 vulnerabilități, 69 critice. Diferențele vin din metodă; nu le tratăm ca neconcordanțe în fapte.
• Un singur zero-day este exploatat: CVE-2026-96951 în Windows Shell, descris de SecurityWeek, CyberScoop și BleepingComputer ca ocolire a unei funcții de securitate (Mark of the Web), cu scor 8,8. Catalogul CISA îl numește „Microsoft Windows Command Injection”, deci denumirile diferă. CISA l-a adăugat în KEV pe 13 octombrie, cu termen 16 octombrie pentru agențiile federale americane. Nu s-au publicat detalii despre atacuri.
• Alte două defecte erau cunoscute public înainte de corecturi: CVE-2026-108398 (ocolire WDAC, în .NET Framework) și CVE-2026-92707 (refuz de serviciu în MessagePack-CSharp). Microsoft nu le raportează ca exploatate. BleepingComputer le numără, împreună cu cel exploatat, drept „3 zero-day”.
• Experți citați de CyberScoop spun că AI scurtează timpul dintre existența unei vulnerabilități și descoperirea ei, dar că volumul nu înseamnă exploatare: descoperirea crește mai repede decât exploatarea, deci sortarea după numărul de CVE-uri consumă timp pe defecte nepotrivite. Microsoft a introdus „grupuri de risc” pentru prioritizare. Sunt opinii și instrumente, nu constatări despre atacuri.

• Ivanti spune că defectul permite unui atacator neautentificat să execute cod și că este exploatat împotriva unui număr limitat de clienți. CERT-FR (14 octombrie) listează ca afectate versiunile 22.8Rx anterioare 22.8R2.5, 25.1.1.x anterioare 25.1.1.2 și 25.1.3.x anterioare 25.1.3.1. NCSC-NL, care dă scor 8,6, recomandă 25.1.1.2 sau mai nou, iar pentru seria 22.8 acceptă 22.8R2.5.
• Volexity, citat de SecurityWeek și BleepingComputer, atribuie activitatea unui actor nedocumentat anterior (UTA0576), cu exploatare din 3 octombrie, iar Defused spune că a văzut dovezi încă din 1 octombrie. Activitatea ar fi vizat credențiale de domeniu, parole LAPS și chei BitLocker. Aceste detalii vin de la Volexity, nu de la Ivanti.
• Neclar și important: SecurityWeek relatează că atacatorii au folosit un lanț de trei defecte și că al treilea, o escaladare de privilegii fără CVE, nu are încă o corectură; Ivanti ar urma să o remedieze „în următoarele săptămâni”. Articolul nu explică cum a putut Volexity să vadă acces root pe un aparat „complet actualizat”. Deci aplicarea corecturii pentru CVE-2026-104935 poate să nu închidă tot lanțul. NCSC-NL nu precizează dacă acoperă tot lanțul.
• CISA a adăugat defectul în KEV pe 13 octombrie. Instrumentul Ivanti Integrity Checker poate rata exploatarea, pentru că comenzile rulează în memorie, spune CISA.
• CERT-FR cere, în ordine: izolarea aparatului, păstrarea memoriei dacă e virtual, analiza după indicatorii Volexity, apoi, la suspiciune, raportare, resetare la valorile din fabrică și tratarea ca fiind compromise a tuturor secretelor care au trecut prin aparat: LDAP/Active Directory, certificate, parola de administrator, chei API, conturi locale și de serviciu, bilete Kerberos și acreditările serverului de licențe. Avertizează că unele amenințări pot rezista unei resetări.
• Shadowserver urmărește peste 5.600 de gazde expuse cu amprentă ICS, potrivit BleepingComputer; nu se știe câte sunt vulnerabile sau capcane (honeypot).

• Potrivit BleepingComputer, care citează avizul Cisco, un defect de traversare de cale în funcția Advanced Malware Protection permite unui atacator neautentificat, printr-un e-mail cu atașament modificat, să scrie fișiere arbitrare și să execute comenzi cu drepturi de root. Cisco spune că a aflat de exploatare activă în octombrie 2026 și a publicat indicatori de compromitere.
• Afectate sunt instanțele cu Reputația fișierelor activată și asociată unei politici de e-mail, iar Content Scanner Tools mai vechi de 25.3.0.5525. Versiunea corectată nu e dată explicit în sursa citită; confirmă în avizul Cisco.
• Cisco a aplicat măsuri pe instanțele din cloud și a contactat proprietarii unor instanțe cu suspiciune de compromitere. Shadowserver numără aproape 300 de instanțe expuse.
• CISA l-a adăugat în KEV pe 14 octombrie.

CISA a adăugat în catalog patru defecte: PAN-OS (CVE-2026-0322, injectare de cod), Cisco Secure Email Gateway (cel de mai sus) și Ahsay AhsayCBS (CVE-2026-105133, autentificare necorespunzătoare, și CVE-2026-105134, injectare de comenzi). Termenul pentru agențiile federale americane este 17 octombrie, iar CISA recomandă tuturor să prioritizeze remedierea defectelor din KEV. Nu am verificat independent detaliile avizului PAN-OS, așa că nu le prezentăm aici.

• Prima treaptă: echipamente expuse în internet cu defect exploatat. Ivanti Connect Secure, Cisco Secure Email Gateway, PAN-OS, Ahsay. Aici contează și corectura, și dovada că nu ai fost deja compromis.
• Pentru Ivanti, după corectură tratează acreditările ca potențial expuse dacă aparatul a fost accesibil din internet în perioada de exploatare (din 1–3 octombrie), și urmărește anunțul Ivanti pentru al treilea defect.
• A doua treaptă: zero-day-ul Windows Shell din KEV, pe stațiile de lucru, într-un inel de testare rapid, pentru că o ocolire a Mark of the Web privește, de regulă, fișiere descărcate sau primite (aprecierea noastră, nu o informație din surse).
• A treia treaptă: critice din Active Directory și AD FS, SharePoint, Exchange, urmate de restul în ciclul normal. Numărul total de CVE-uri nu este un criteriu.
• Cere echipei sau furnizorului un raport scurt: ce echipamente de margine ai, versiunea fiecăruia, ce a fost corectat și când, ce dovezi de curățenie există (jurnale, indicatori, analiza memoriei) și ce rămâne deschis.
• Stabilește din timp cine poate aproba o corectură în afara ferestrei de mentenanță pentru un defect din KEV, ca să nu cauți aprobarea în ziua în care contează.
• Dacă găsești o compromitere, ia în calcul raportarea: NIS2 prevede avertizare timpurie în 24 de ore și raport inițial în 72 de ore pentru incidente semnificative ale entităților esențiale și importante; pentru date personale, GDPR cere notificare în 72 de ore dacă riscul o impune. Aplicabilitatea depinde de situația ta; verifică cu juristul sau cu responsabilul cu protecția datelor.

CERT-FR, NCSC-NL, CISA și avizele producătorilor sunt sursele primare. Volexity este sursa pentru atribuire și comportament în cazul Ivanti, iar presa independentă confirmă faptele de bază. Cifrele Patch Tuesday diferă după metodă; nu le amesteca într-un singur total.

Awarely Monitor poate ajuta la evidența echipamentelor expuse și la prioritizarea remedierii după exploatare, nu după numărul de CVE-uri. Awarely Learning susține exercițiile pentru conducere: cine decide o corectură de urgență, cine verifică dovezile de curățenie și cine raportează. Articolul nu este consultanță juridică și nu garantează conformitatea.