Cisco-ն զգուշացրել է Secure Email Gateway-ի կրիտիկական խոտորության ակտիվ օգտագործման մասին

CVE-2026-76519-ի ակտիվ օգտագործումը

Cisco-ն զգուշացրել է, որ հակառակորդները ակտիվորեն օգտագործում են Secure Email Gateway-ի կրիտիկական խոտորությունը՝ CVE-2026-76519, CVSS 9,8: դա անլեգիտիմ ուղարկողին թույլ է տալիս հատուկ էլ. փոստի հավելվածով նիշքեր գրել սարքի օպերացիոն համակարգում և վերջապես հրամաններ կատարել root-ի իրավունքներով: Cisco-ը խոտորությունը հայտնաբերել է ներքին սկանավորմամբ, իսկ հաձվումները տեղի են ունեցել հոկտեմբերում: Հաղորդությունը չի նշում, թե քանի սարք է հաձվել, ով է կանգնած դրա ետևում և ձեռք է բերել թե ոչ root-ի մուտքը: Cisco-ը կապ է հաստատել Secure Email Cloud-ի օգտատերերի հետ, որոնց սարքերում կահավորման նշաններ կային, և հայտարարում է, որ ներգրավված է վերականգնման և ուղղման աշխատանքներում:

Խոտորությունը և ուղղումը

Խոտորության համար երկու պայման է անհրաժեշտ. File Reputation-ը պետք է միացված լինի և կցված լինի փոստային քաղաքականությանը՝ որպես Advanced Malware Protection-ի մաս, իսկ Content Scanner Tools-ի փաթեթը պետք է 25.3.0.5525-ից հնացած լինի: Վնասված AsyncOS թողարկումներում ֆիզիկական և վիրտուալ դարպասները խոտորված են, իսկ Secure Email and Web Manager-ը և Secure Web Appliance-ը՝ ոչ: Ամենագրգռ ուղղումն է Content Scanner Tools-ի թարմացումը մինչև 25.3.0.5525 կամ ավելի նոր տարբերակով, որը տեղակայվում է առանց վերագետնելու: AsyncOS-ի լիակատար ուղղումները 15.5.5-014 և 16.5.0-780 թողարկումներում են, որոնք Cisco-ը թողարկել է 14 սեպտեմբերին: 16.5-ի հնացած դարպասները պետք է անցնեն 16.5.0-780-ով: Խուսափելու հնարավորություն չկայ:

Կահավորվածության ստուգումը

Cisco-ն օգտագործման փորձի ստուգման համար մեկ հրաման է տալիս. grep "System Security" system_logs: Այն վերադարձնում է չորս հաղորդություններից մեկը, որը ցույց է տալիս՝ արդյոք հայտնաբերվել է կահավորվածության ցուցիչ, արդյոք ավարտվել է սկանավորումը կամ ցուցիչը չի հայտնաբերվել: Մաքր արդյունքը անվտանգության երաշխիք չէ, քանի որ root իրավունքներով հակառակորդը կարող է ջնջել կամ թաքցնել ապացույցները: Cisco-ը խորհուրդ է տալիս սարքից դուրս ստուգել հրապատները և ցանցային գրառումները անսպասելի բեռնումների կամ ներբեռնումների ապացուցման համար: Կահավորված վիրտուալ սարքերի դեպքում Cisco-ը խորհուրդ է տալիս կրկին կառուցել նոր մուտքի տվյալներով և զգուշացնում է, որ թարմացումը կոնծնի հնագիտական տվյալներն ու գրառումները: Կլաստերի անդամները SSH բանալիների զույգերով ինքնություն են հաստատում, ուստի եթե կլաստերում գոնե մեկ կահավորված սարք կա, բոլոր անդամները պետք է վերականգնվեն:

Ամսում երկրորդ օգտագործված խոտորությունը

Սա արդեն երկրորդ Secure Email Gateway-ի խոտորությունն է, որի ակտիվ հաձվումը Cisco-ը հաստատել է մեկ ամսում: 14 սեպտեմբերին հրապարակվեց CVE-2026-76461՝ էլ. փոստի վերլուծության մեջ առկա SQL ներդրման խոտորությունը, որը նույնպես անլեգիտիմ ուղարկողին հնարավորություն է տալիս հրամաններ կատարել root-ի իրավունքներով: Այն ազդում է բոլոր կազմաձևումների վրա և նույն օրը ավելացվեց CISA-ի հայտնի օգտագործված թերությունների կատալոգում: Երկու խոտորությունը գտնվում են ծրագրային ապահովման տարբեր մասերում, և Cisco-ը այդ հաձվումները կապի մեջ չի դնում: Սեպտեմբրի կանոնների թարմացումը ներքին խոտորությունները ըստ թերությունների դասերի խմբավորեց հինգ խմբային CVE-ում, և Cisco-ը չորեքշաբաթին թարմացրեց հաղորդությունը՝ նշելով, որ դրանցից երկուսն արդեն ակտիվորեն օգտագործվում են: Սա նաեև երրորդ root-ի մակարդակի խոտորությունն է այս սարքերում, որի օգտագործումը Cisco-ը հաստատել է դեկեմբրից հետո, երբ Չինաստանի հետ կապված UAT-9686-ն օգտագործեց սպամի կավատման գործառույթում zero-day խոտորությունը՝ CVE-2025-20393:

Աղբյուրներ՝ The Hacker News