Злоумышленники используют критическую уязвимость в Cisco Secure Email Gateway, которая позволяет отправителю без авторизации записывать файлы в операционную систему устройства, сообщила Cisco в среду в своем уведомлении. Злоумышленник отправляет электронное письмо с подготовленным вложением через шлюз, и в случае успеха может выполнять команды от имени root. Устройство фильтрует электронную почту организации на предмет спама, вредоносных программ и других угроз, и уязвимым является только шлюз с включенной службой File Reputation и пакетом Content Scanner Tools версии ниже 25.3.0.5525.
Исправление поставляется с 14 сентября в версиях AsyncOS 15.5.5-014 и 16.5.0-780, сборках, которые Cisco указала как исправленные в тот день в выпуске для повышения безопасности, который, по словам компании, охватывал эту уязвимость. Также доступно обновление Content Scanner Tools версии 25.3.0.5525 или новее, которое устанавливается без обновления программного обеспечения или перезагрузки.
Cisco обнаружила уязвимость, отслеживаемую как CVE-2026-76519 (CVSS: 9.8), в ходе собственного внутреннего сканирования безопасности и узнала об атаках в октябре. В уведомлении не указано, сколько устройств было атаковано, кто стоит за атаками, и получили ли злоумышленники права root на каких-либо из них.
Cisco связалась с клиентами своего управляемого сервиса Secure Email Cloud, чьи устройства показали “признаки возможного компрометации”, и заявила, что занимается устранением последствий и восстановлением. Администраторы этих управляемых шлюзов могут не иметь доступа к командной строке, необходимого для выполнения проверки компрометации ниже, и Cisco уже развернула исправленный сканер там, поэтому им не требуется никаких действий для получения исправления.
Оба условия должны выполняться. Служба File Reputation, часть функции Advanced Malware Protection (AMP), обрабатывающая вложения, должна быть включена и назначена почтовой политике, а версия Content Scanner Tools должна быть более ранней, чем 25.3.0.5525.
Уязвимы физические и виртуальные шлюзы на уязвимых версиях AsyncOS. Secure Email and Web Manager и Secure Web Appliance не затронуты.
Чтобы проверить первое условие, откройте Mail Policies > Incoming Mail Policies > Advanced Malware Protection или тот же путь в разделе Outgoing Mail Policies, выберите почтовую политику и посмотрите на поле Enable File Reputation. Чтобы проверить второе, выполните команду contentscannerstatus в CLI, которая показывает версию и время последнего обновления.
Самый быстрый путь — обновление сканера. Шлюзы с автоматическим обновлением Content Scanner Tools не требуют никаких действий после применения обновления, поэтому подтвердите с помощью contentscannerstatus, что версия 25.3.0.5525 или новее, а не предполагайте, что она была установлена.
Там, где автоматические обновления отключены, выполните команду contentscannerupdate в CLI или включите их в разделе Security Services > Service Updates.
Полное исправление AsyncOS находится в этих первых исправленных выпусках:
Cisco рекомендует любому шлюзу, более раннему, чем 16.5, перейти на 16.5.0-780. Шлюз 16.0 на 16.0.4-302, сборка, которая исправила сентябрьскую уязвимость SQL-инъекции, не исправлена для этой, и в уведомлении не указано, какие выпуски считаются лицензированными и поддерживаемыми для обновления сканера. Для шлюза 16.0, который остается на 16.0, версия сканера, показанная contentscannerstatus, является единственным подтверждением, предлагаемым в уведомлении.
Обходного пути нет. Для виртуального устройства, демонстрирующего признаки компрометации, Cisco рекомендует перестроить его с новыми учетными данными и предупреждает, что обновление скомпрометированного экземпляра уничтожает криминалистические данные и журналы.
Проверка Cisco на попытки эксплуатации — это одна команда на устройстве: grep “System Security” system_logs. Она возвращает одно из трех сообщений:
Выполните ее на каждом члене кластера. Чистый результат не является доказательством: злоумышленник с правами root может удалить или скрыть улики, поэтому также проверяйте журналы брандмауэра и сети вне устройства на наличие неожиданных загрузок на внешние IP-адреса или загрузок с вредоносных адресов. В уведомлении не указано, что ищет сканирование.
Для физического устройства Cisco просит клиентов связаться с TAC и включить удаленный доступ, чтобы ее инженеры могли провести расследование. Для виртуального устройства ее шаги следующие:
Члены кластера аутентифицируются друг с другом с помощью пар ключей SSH. Скомпрометированные закрытые ключи члена могут дать злоумышленнику доступ к другим, поэтому Cisco рекомендует восстановить каждого члена кластера, содержащего хотя бы одно скомпрометированное устройство. Клиентам Secure Email Cloud, с которыми она связалась, предлагается по возможности обновить учетные данные и криптографические материалы.
Это вторая уязвимость Secure Email Gateway, подтвержденная Cisco как эксплуатируемая за месяц. 14 сентября она раскрыла CVE-2026-76461, уязвимость SQL-инъекции в парсере электронной почты шлюза, которая могла позволить неаутентифицированному отправителю выполнять команды от имени root через подготовленное электронное письмо.
Эта уязвимость затрагивает каждую конфигурацию и в тот же день была добавлена в каталог CISA “Известные эксплуатируемые уязвимости”. Две уязвимости находятся в разных частях программного обеспечения и имеют разные проверки журналов, и Cisco не связала эти атаки.
В тот же день Cisco опубликовала выпуск для повышения безопасности для шлюза и для Secure Email and Web Manager, который сгруппировал внутренне обнаруженные ошибки в пять общих CVE по классам уязвимостей: CVE-2026-76440, CVE-2026-76441, CVE-2026-20353 и CVE-2026-76443, каждый с оценкой 9.8, и CVE-2026-76442 с оценкой 7.5. Каждая оценка является самой высокой среди ошибок в этом классе, а в уведомлении указаны сборки 15.5.5-014 и 16.5.0-780.
В среду Cisco обновила это уведомление, и теперь в нем говорится: “Две из них, как известно, активно эксплуатируются”: уязвимость записи файлов, относящаяся к классу обхода пути, и сентябрьская уязвимость SQL-инъекции, относящаяся к классу некорректной нейтрализации. Она не осведомлена об атаках на другие ошибки в этом выпуске.
В соответствии с политикой раскрытия информации, установленной Cisco в июне, ошибки, исправленные в выпусках для повышения безопасности, имеют общие CVE, а уязвимость получает собственный CVE, когда, среди прочих причин, известно, что она эксплуатируется. Уязвимость записи файлов была исправлена в сентябре в группе обхода пути и получила собственное уведомление в среду.
Это также третья уязвимость на уровне root в этих устройствах, эксплуатация которой была подтверждена Cisco с декабря, когда группа, связанная с Китаем, отслеживаемая Cisco Talos как UAT-9686, использовала уязвимость нулевого дня в функции карантина спама, CVE-2025-20393, которую Cisco исправила в январе.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Swati Khandelwal
