Cisco предупредила о новой критической уязвимости в программном обеспечении AsyncOS для Cisco Secure Email Gateway, которая активно используется злоумышленниками. Уязвимость, отслеживаемая как CVE-2026-76461, имеет оценку CVSS 9,8 из 10,0. Она связана с недостаточной проверкой при разборе электронной почты, что позволяет неаутентифицированному удаленному злоумышленнику выполнять произвольные команды с правами root в операционной системе.
Злоумышленник может использовать эту уязвимость, отправив специально сформированное электронное письмо с вредоносными SQL-запросами через уязвимое устройство. Успешная эксплуатация может позволить злоумышленнику выполнить произвольные SQL-запросы, что приведет к выполнению команд с правами root в операционной системе.
Уязвимость затрагивает Cisco Secure Email Gateway, как физические, так и виртуальные устройства, независимо от конфигурации. Однако другие продукты, такие как Secure Email and Web Manager и Secure Web Appliance, не затронуты. Исправления доступны для следующих версий Cisco AsyncOS для Cisco Secure Email Gateway Software Release.
Единственным способом устранения уязвимости является обновление до последней поддерживаемой версии. Cisco сообщила, что ей стало известно об активной эксплуатации этой уязвимости в текущем месяце, и предоставила следующие индикаторы компрометации (IoC).
Компания также связалась напрямую с клиентами, использующими устройства Cisco Secure Email Cloud, на которых была обнаружена вредоносная активность. Масштаб атак не раскрывается.
«При успешной эксплуатации этой уязвимости злоумышленники могут получить возможность выполнения команд с правами root», — предупредила компания. «Из-за такого уровня доступа доказательства эксплуатации и индикаторы компрометации могут быть удалены или скрыты злоумышленниками».
В связи с этим администраторам рекомендуется проверять сетевые журналы и журналы межсетевого экрана вне уязвимого устройства для выявления любой потенциальной аномальной активности, включая неожиданные загрузки с затронутого устройства на внешние IP-адреса или загрузки с вредоносных IP-адресов.
Это событие побудило Агентство по кибербезопасности и защите инфраструктуры США (CISA) добавить CVE-2026-76461 в свой каталог известных уязвимостей (KEV), обязав федеральные гражданские исполнительные учреждения (FCEB) применить исправления к 17 сентября 2026 года.
Это сообщение появилось через несколько дней после того, как Arctic Wolf сообщил об обнаружении масштабных атак на учетные данные, нацеленных на внешние VPN-устройства Fortinet в конце августа 2026 года. Активность высокой интенсивности проходила в два этапа в нескольких клиентских средах США с 26 по 28 августа 2026 года, генерируя десятки миллионов сбоев аутентификации.
«Злоумышленник использовал организационно-специфические имена пользователей, корпоративные адреса электронной почты, партнерские учетные записи и общие административные идентификаторы, что указывает на доступ к ранее собранной или перечисленной информации об идентификации», — сообщил исследователь безопасности Кайл Сиддалл. «Попытки использования имен пользователей включали имена сотрудников, корпоративные адреса электронной почты, партнерские идентификаторы и общие административные учетные записи, связанные с целевыми организациями. Такой целенаправленный выбор идентификаторов, а не общий перебор имен пользователей, указывает на доступ к ранее собранной или перечисленной информации об идентификации».
В одном из наблюдавшихся случаев успешная аутентификация Fortinet VPN с IP-адреса «158.94.211[.]14» сопровождалась вредоносной активностью в затронутой среде.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
