Злоумышленники используют критическую уязвимость в Cisco Secure Email Gateway, которая позволяет отправителю без входа в систему записывать файлы в операционную систему устройства, сообщил Cisco в своем уведомлении в среду.
Злоумышленник отправляет электронное письмо с поддельным вложением через шлюз, и если это удается, он может выполнять команды от имени root. Устройство фильтрует электронную почту организации на наличие спама, вредоносных программ и других угроз, и уязвимо только то устройство, у которого включена служба репутации файлов и пакет инструментов сканирования содержимого старше версии 25.3.0.5525.
Исправление выпускается с 14 сентября в AsyncOS 15.5.5-014 и 16.5.0-780, сборки, которые Cisco указала как исправленные в релизе по усилению безопасности в тот день, который компания теперь говорит, охватывает эту уязвимость. Оно также приходит как обновление инструмента сканирования содержимого, версия 25.3.0.5525 или более поздняя, которое устанавливается без обновления программного обеспечения или перезагрузки.
Cisco обнаружила уязвимость, отслеживаемую как CVE-2026-76519 (оценка CVSS: 9.8), в своем внутреннем сканировании безопасности и узнала об атаках в октябре. В уведомлении не указано, сколько устройств было атаковано, кто стоит за атаками или получили ли злоумышленники root-доступ к каким-либо из них.
Cisco связалась с клиентами своей управляемой службы Secure Email Cloud, чьи устройства показали "признаки возможного компрометации" и заявила, что занимается восстановлением и исправлением. Администраторы этих управляемых шлюзов могут не иметь доступа к командной строке, необходимого для выполнения проверки компрометации ниже, и Cisco уже развернула исправленный сканер там, поэтому им не нужно предпринимать никаких действий для получения исправления.
Кто подвержен риску
Должны выполняться оба условия. Служба репутации файлов, часть функции Advanced Malware Protection (AMP), которая обрабатывает вложения, должна быть включена и назначена политике почты, а версия инструментов сканирования содержимого должна быть старше 25.3.0.5525.
Физические и виртуальные шлюзы на уязвимых версиях AsyncOS подвержены риску. Secure Email и Web Manager и Secure Web Appliance не подвержены.
Чтобы проверить первое условие, откройте Mail Policies > Incoming Mail Policies > Advanced Malware Protection или тот же путь в разделе Outgoing Mail Policies, выберите политику почты и посмотрите на поле Enable File Reputation. Чтобы проверить второе, выполните команду contentscannerstatus в CLI, которая покажет версию и дату последнего обновления.
Как это исправить
Самый быстрый способ — обновление сканера. Шлюзы с включенными автоматическими обновлениями инструментов сканирования содержимого не требуют действий после применения обновления, поэтому подтвердите с помощью contentscannerstatus, что версия 25.3.0.5525 или более поздняя, а не предполагайте, что она пришла.
Где автоматические обновления отключены, выполните команду contentscannerupdate в CLI или включите их в разделе Security Services > Service Updates.
Полное исправление AsyncOS содержится в этих первых исправленных релизах:
15.5: 15.5.5-014
16.0: нет исправленной сборки. Перейдите на исправленный релиз.
16.5: 16.5.0-780
Инструменты сканирования содержимого (все лицензированные и поддерживаемые релизы AsyncOS): 25.3.0.5525 или более поздняя
Cisco рекомендует любому шлюзу старше 16.5 перейти на 16.5.0-780. Шлюз 16.0 на 16.0.4-302, сборка, которая исправила уязвимость SQL-инъекции в сентябре, не исправлен для этой уязвимости, и в уведомлении не указано, какие релизы считаются лицензированными и поддерживаемыми для обновления сканера. Для шлюза 16.0, который остается на 16.0, версия сканера, показанная содержанием contentscannerstatus, является единственным подтверждением, которое предлагает уведомление.
Обходного пути нет. Для виртуального устройства, которое показывает признаки компрометации, руководство Cisco предполагает восстановление с новыми учетными данными и предупреждает, что обновление скомпрометированной инстанции уничтожает судебные данные и журналы.
Как проверить на компрометацию
Проверка Cisco на попытку эксплуатации — это одна команда на устройстве: grep "System Security" system_logs. Она возвращает одно из трех сообщений:
System Security: Найден признак подозрительной компрометации. Свяжитесь с TAC для дальнейших рекомендаций. Обнаружена компрометация. Следуйте шагам восстановления ниже.
System Security: Безопасное сканирование не завершено. Свяжитесь с TAC для дальнейших рекомендаций. Свяжитесь с Центром технической поддержки Cisco (TAC).
System Security: Признак компрометации не найден. Компрометация не обнаружена этой проверкой. Обновите, если устройство находится на затронутой версии.
Запустите это на каждом члене кластера. Чистый результат не является доказательством: злоумышленник с root-доступом мог удалить или скрыть улики, поэтому также проверьте журналы брандмауэра и сети вне устройства на наличие неожиданных загрузок на внешние IP-адреса или загрузок с вредоносных. В уведомлении не указано, что ищет сканирование.
Если устройство скомпрометировано
Для физического устройства Cisco просит клиентов связаться с TAC и включить удаленный доступ, чтобы его инженеры могли провести расследование. Для виртуального устройства его шаги следующие:
Сначала сохраните судебные данные. Обновление скомпрометированной инстанции уничтожает ее журналы и улики.
Разверните новую виртуальную машину на исправленном релизе.
Восстановите конфигурацию без импорта любого предыдущего файла конфигурации.
Обновите учетные данные и криптографические материалы на устройстве, затем продолжайте мониторинг на предмет необычного поведения.
Члены кластера аутентифицируются друг к другу с помощью пар ключей SSH. Приватные ключи скомпрометированного члена могут дать злоумышленнику доступ к другим, поэтому Cisco рекомендует восстановить каждого члена кластера, который содержит хотя бы одно скомпрометированное устройство. Клиенты Secure Email Cloud, с которыми она связалась, просят обновить учетные данные и криптографические материалы, где это возможно.
Сентябрьский релиз
Это вторая уязвимость Secure Email Gateway, которую Cisco подтвердила под атакой за месяц. 14 сентября она раскрыла CVE-2026-76461, уязвимость SQL-инъекции в парсере электронной почты шлюза, которая могла позволить неаутентифицированному отправителю выполнять команды от имени root через поддельное электронное письмо.
Эта уязвимость затрагивает каждую конфигурацию и была добавлена в каталог известных уязвимостей CISA в тот же день. Обе уязвимости находятся в разных частях программного обеспечения и имеют разные проверки журналов, и Cisco не связывала атаки.
В тот же день Cisco опубликовала релиз по усилению безопасности для шлюза и для Secure