Cisco מזהירה מפני ניצול פעיל של פרצה קריטית ב-Secure Email Gateway

ניצול פעיל של CVE-2026-76519

Cisco הזהירה כי תוקפים מנצלים באופן פעיל את הפרצה הקריטית CVE-2026-76519 ב-Secure Email Gateway, בדירוג CVSS 9.8. היא מאפשרת לשולח לא מורשה לכתוב קבצים למערכת ההפעלה של ההתקן באמצעות קובץ מצורף מיוחד בדוא"ל ולהריץ בסופו של דבר פקודות עם הרשאות root. Cisco איתרה את הפרצה בסריקות פנימיות וזיהתה את ההתקפות באוקטובר. ההודעה לא מציינת כמה התקנים הותקפו, מי עומד מאחורי זה והאם השיגו גישת root. Cisco ייצרה קשר עם לקוחות Secure Email Cloud שעל התקניהם נמצאו סימני תיעבוד, ומצהירה כי היא עוסקת בשיקום ובתיקון.

פרצת אבטחה ותיקון

הפרצה דורשת שני תנאים: File Reputation חייב להיות מופעל ומקושר למדיניות הדוא"ל כחלק מ-Advanced Malware Protection, ואש החבילה Content Scanner Tools חייבת להיות ישנה מגרסה 25.3.0.5525. שערים פיזיים ווירטואליים בגרסאות AsyncOS שהושפעו הם פגים, בעוד Secure Email and Web Manager ו-Secure Web Appliance לא מושפעים. התיקון המהיר ביותר הוא לעדכן את Content Scanner Tools לגרסה 25.3.0.5525 או חדשה יותר, המותקנת ללא הפעלה מחדש. התיקון המלא של AsyncOS זמין בגרסאות 15.5.5-014 ו-16.5.0-780 ש-Cisco שיחררה ב-14 בספטמבר. שערים ישנים יותר מ-16.5 חייבים לעבור לגרסה 16.5.0-780. אין אפשרות לדלג על כך.

בדיקת תיעבוד

Cisco מציעה פקודה אחת לבדיקת ניסיון ניצול: grep "System Security" system_logs. היא מחזירה אחת מארבע הודעות המציינות אם זוהה אינדיקטור תיעבוד, אם הסריקה הסתיימה, או שהאינדיקטור לא נמצא. תוצאה נקייה אינה ערובה לאבטחה, מכיוון שתוקף עם הרשאות root יכול למחוק או להסתיר ראיות. Cisco ממליצה לבדוק את יומני החומת אש והרשת מחוץ להתקן כדי לזהות העלאות או הורדות חריגות. במקרה של התקנים וירטואליים שתועבדו, Cisco ממליצה לבנות מחדש עם נתוני גישה חדשים ומזהירה כי עדכון יהרוס נתונים פרנזיים ויומנים. חברי מקבוץ מבצעים אימות עם מפתחות SSH, ולכן אם יש התקן מתועבד אחד במקבוץ, כל החברים צריכים להשתקם.

פרצה שנייה שנוצלה בחודש

זוהי כבר הפרצה השנייה ב-Secure Email Gateway ש-Cisco אישרה ניצול פעיל שלה בתוך חודש. ב-14 בספטמבר פורסמה CVE-2026-76461, פרצת הזרקת SQL בניתוח דוא"ל, המאפשרת גם היא לשולח לא מורשה להריץ פקודות עם הרשאות root. היא משפיעה על כל התצורות ובאותו יום נוספה לקטלוג הפרצות הידועות של CISA. שתי הפרצות נמצאות בחלקים שונים של התוכנה ו-CISA לא מקשרת ביניהן. עדכון ההחמרה של בספטמבר איחד פרצות פנימיות לחמישה CVE-ים קבוצתיים לפי סוגי הפגיעות, ו-Cisco עדכנה ביום חמישי כי שניים מהם כבר מנוצלים באופן פעיל. זוהי גם הפרצה השלישית ברמת root בהתקנים אלה, ש-Cisco אישרה את ניצולה אחרי דצמבר, כאשר קבוצה המקושרת לסין, UAT-9686, ניצלה zero-day בפונקציית הסגר של ספאם, CVE-2025-20393.

מקורות: The Hacker News