Cisco-მ გააფრთხილა Secure Email Gateway-ის კრიტიკული ხარვეზის აქტიური ექსპლუატაციის შესახებ

CVE-2026-76519-ის აქტიური ექსპლუატაცია

Cisco-მ გააფრთხილა, რომ თავდამსხმელები აქტიურად იყენებენ Secure Email Gateway-ის კრიტიკულ ხარვეზს CVE-2026-76519, CVSS 9,8. ის არაავტორიზებულ გამგზავნს საშუალებას აძლევს, სპეციალური ელფოსტის დანართით ფაილები ჩაწეროს მოწყობილობის ოპერაციულ სისტემაში და საბოლოოდ root-ის უფლებებით ბრძანებები გაუშვას. Cisco-მ ხარვეზი შიდა სკანირებით იპოვა და შეტევები ოქტომბერში გაიგო. ცნობა არ ამბობს, რამდენ მოწყობილობას შეუტიეს, ვინ დგას ამის უკან და მოიპოვეს თუ არა root-ის წვდომა. Cisco-მ დაუკავშირდა Secure Email Cloud-ის მომხმარებლებს, რომელთა მოწყობილობებზე კომპრომეტაციის ნიშნები იყო, და აცხადებს, რომ აღდგენასა და გამოსწორებაშია ჩართული.

დაუცველობა და გამოსწორება

დაუცველობისთვის ორი პირობაა საჭირო: ჩართული და საფოსტო პოლიტიკაზე მიბმული უნდა იყოს File Reputation, Advanced Malware Protection-ის ნაწილი, ხოლო Content Scanner Tools-ის პაკეტი 25.3.0.5525-ზე ძველი უნდა იყოს. დაზარალებულ AsyncOS გამოშვებებზე ფიზიკური და ვირტუალური გეითვეები დაუცველია, Secure Email and Web Manager და Secure Web Appliance კი არა. ყველაზე სწრაფი გამოსწორება Content Scanner Tools-ის 25.3.0.5525 ან უფრო ახალ ვერსიაზე განახლებაა, რომელიც გადატვირთვის გარეშე დგება. AsyncOS-ის სრული შესწორება 15.5.5-014 და 16.5.0-780 გამოშვებებშია, რომლებიც Cisco-მ 14 სექტემბერს გამოუშვა. 16.5-ზე ძველი გეითვეები 16.5.0-780-ზე უნდა გადავიდნენ. გვერდის ავლის საშუალება არ არსებობს.

კომპრომეტაციის შემოწმება

Cisco ექსპლუატაციის მცდელობის შესამოწმებლად ერთ ბრძანებას გვაძლევს: grep „System Security“ system_logs. ის აბრუნებს ოთხი შეტყობინებიდან ერთს, რომელიც მიუთითებს, მოიძებნა თუ არა კომპრომეტაციის ინდიკატორი, დასრულდა თუ არა სკანირება, ან ინდიკატორი არ გამოვლინდა. სუფთა შედეგი უსაფრთხოების გარანტია არ არის, რადგან root-ის მქონე თავდამსხმელს მტკიცებულებების წაშლა ან დამალვა შეუძლია. Cisco გვირჩევს მოწყობილობის გარეთ ფაირვოლისა და ქსელური ჟურნალების შემოწმებას მოულოდნელი ატვირთვების ან ჩამოტვირთვების გამოსავლენად. კომპრომეტირებული ვირტუალური მოწყობილობების შემთხვევაში Cisco გვირჩევს ახალი წვდომის მონაცემებით ხელახლა აშენებას და აფრთხილებს, რომ განახლება ფორენზიკულ მონაცემებსა და ჟურნალებს ანადგურებს. კლასტერის წევრები SSH გასაღების წყვილებით ავთენტიფიკაციას გადიან, ამიტომ თუ კლასტერში ერთი კომპრომეტირებული მოწყობილობა მაინცაა, ყველა წევრი უნდა აღდგეს.

თვეში მეორე ექსპლუატირებული ხარვეზი

ეს უკვე მეორე Secure Email Gateway-ის ხარვეზია, რომლის აქტიური შეტევა Cisco-მ ერთ თვეში დაადასტურა. 14 სექტემბერს გამოქვეყნდა CVE-2026-76461, ელფოსტის პარსინგში არსებული SQL-ინექციის ხარვეზი, რომელიც ასევე აძლევს არაავტორიზებულ გამგზავნს root-ის უფლებებით ბრძანებების გაშვების საშუალებას. ის ყველა კონფიგურაციას ეხება და იმავე დღეს CISA-ს ცნობილი ექსპლუატირებული სისუსტეების კატალოგს დაემატა. ორი ხარვეზი პროგრამული უზრუნველყოფის სხვადასხვა ნაწილშია და Cisco ამ თავდასხმებს არ აკავშირებს. სექტემბრის გამკაცრების განახლებამ შიდა ხარვეზები სისუსტის კლასების მიხედვით ხუთ ჯგუფურ CVE-ად გააერთიანა, და Cisco-მ ოთხშაბათს განაახლა ცნობა, რომ ორი მათგანი უკვე აქტიურად ექსპლუატირდება. ეს ასევე მესამე root-ის დონის ხარვეზია ამ მოწყობილობებში, რომლის ექსპლუატაციაც Cisco-მ დეკემბრის შემდეგ დაადასტურა, როცა ჩინეთთან დაკავშირებულმა UAT-9686-მა სპამის კარანტინის ფუნქციაში zero-day, CVE-2025-20393, გამოიყენა.

წყაროები: The Hacker News