攻击者正在利用思科安全电子邮件网关中的一个关键漏洞，该漏洞允许未登录的发送者向设备的操作系统写入文件，思科在周三的公告中表示。
攻击者通过网关发送带有精心制作的附件的电子邮件，如果成功，则可以以root身份运行命令。该设备过滤组织的电子邮件以查找垃圾邮件、恶意软件和其他威胁，只有启用了文件声誉服务且内容扫描工具包版本早于25.3.0.5525的网关才是易受攻击的。
修复程序自9月14日起在AsyncOS 15.5.5-014和16.5.0-780中发布，思科在当天的加固版本中列出了这些构建，并表示该修复涵盖了此漏洞。它还作为内容扫描工具更新到达，版本为25.3.0.5525或更高，安装时无需软件升级或重启。
思科在其内部安全扫描中发现了该漏洞，跟踪ID为CVE-2026-76519（CVSS评分：9.8），并在10月意识到攻击。公告未说明有多少设备受到攻击，攻击者是谁，或攻击者是否在任何设备上获得了root权限。
思科已联系其托管的安全电子邮件云服务的客户，这些客户的设备显示出“可能被攻击的迹象”，并表示正在进行补救和恢复。这些托管网关的管理员可能没有运行以下漏洞检查所需的命令行访问权限，思科已经在那儿部署了修复的扫描器，因此他们无需采取任何行动即可获得修复。
谁受到影响
两个条件必须同时满足。文件声誉服务，作为处理附件的高级恶意软件防护（AMP）功能的一部分，必须启用并分配给邮件策略，而内容扫描工具版本必须早于25.3.0.5525。
受影响的有易受攻击的AsyncOS版本上的物理和虚拟网关。安全电子邮件和Web管理器以及安全Web设备不受影响。
要检查第一个条件，请打开邮件策略 > 收件邮件策略 > 高级恶意软件防护，或在发件邮件策略下的相同路径，选择一个邮件策略，然后查看启用文件声誉框。要检查第二个条件，请在CLI中运行contentscannerstatus，它会显示版本及其上次更新的时间。
如何修复
最快的解决方案是扫描器更新。启用自动内容扫描工具更新的网关在应用更新后无需任何操作，因此请通过contentscannerstatus确认版本为25.3.0.5525或更高，而不是假设它已经到达。
如果自动更新关闭，请在CLI中运行contentscannerupdate，或在安全服务 > 服务更新下启用它们。
完整的AsyncOS修复在以下第一个修复版本中：
15.5: 15.5.5-014
16.0: 无修复版本。迁移到修复版本。
16.5: 16.5.0-780
内容扫描工具（所有许可和支持的AsyncOS版本）：25.3.0.5525或更高
思科建议任何早于16.5的网关迁移到16.5.0-780。运行在16.0.4-302上的16.0网关，即修复了9月SQL注入漏洞的版本，并未修复此漏洞，公告未列出哪些版本被视为扫描器更新的许可和支持版本。对于保持在16.0上的16.0网关，contentscannerstatus显示的扫描器版本是公告提供的唯一确认。
没有替代方案。对于显示出被攻击迹象的虚拟设备，思科的指导是重建并使用新凭据，并警告说升级被攻击的实例会破坏取证数据和日志。
如何检查是否被攻击
思科检查尝试利用的命令是：grep "System Security" system_logs。它返回三条消息中的一条：
系统安全：发现可疑的攻击迹象。请联系TAC以获取进一步建议。检测到攻击。请按照以下恢复步骤操作。
系统安全：安全扫描未完成。请联系TAC以获取进一步建议。联系思科技术支持中心（TAC）。
系统安全：未发现攻击迹象。此检查未检测到攻击。如果设备在受影响的版本上，请进行升级。
在集群的每个成员上运行此命令。干净的结果并不是证明：拥有root权限的攻击者可以删除或隐藏证据，因此还应检查设备外部的防火墙和网络日志，以查找意外上传到外部IP地址或从恶意IP地址下载的情况。公告未说明扫描查找的内容。
如果设备被攻击
对于物理设备，思科要求客户联系TAC并启用远程访问，以便其工程师进行调查。对于虚拟设备，其步骤为：
首先保留取证数据。升级被攻击的实例会破坏其日志和证据。
在修复版本上部署新的虚拟机。
重建配置，而不导入任何先前的配置文件。
更新设备上的凭据和加密材料，然后继续监控异常行为。
集群成员通过SSH密钥对相互认证。被攻击成员的私钥可能为攻击者提供进入其他成员的途径，因此思科建议恢复包含至少一个被攻击设备的集群中的每个成员。思科已联系的安全电子邮件云客户被要求在可能的情况下更新凭据和加密材料。
九月发布
这是思科在一个月内确认的第二个安全电子邮件网关漏洞。9月14日，它披露了CVE-2026-76461，这是一个安全电子邮件网关的电子邮件解析中的SQL注入漏洞，可能让未经身份验证的发送者通过精心制作的电子邮件以root身份运行命令。
该漏洞影响每个配置，并在同一天被添加到CISA的已知被利用漏洞目录中。这两个漏洞位于软件的不同部分，并具有不同的日志检查，思科尚未将这些攻击联系起来。
同一天，思科发布了针对网关的加固版本和安全电子邮件网关的加固版本。