Cisco, Secure Email Gateway'in Kritik Güvenlik Açığının Aktif Saldırılarla Kullanıldığını Duyurdu

CVE-2026-76519'un Aktif Kullanımı

Cisco, saldırganların Secure Email Gateway'in kritik güvenlik açığı olan CVE-2026-76519'u, CVSS 9,8, aktif olarak kullandığını duyurdu. Bu açık, yetkisiz bir göndericinin özel bir e-posta ekiyle cihazın işletim sistemine dosya yazmasına ve nihayetinde root yetkileriyle komut çalıştırmasına olanak tanır. Cisco, açığı iç taramalarla tespit ettiği ve saldırıları ekim ayında fark ettiği belirtiliyor. Kaç cihaza saldırıldığı, arkasında kimin olduğu ve root erişimi elde edilip edilmediği bilinmiyor. Cisco, güvenlik ihlali belirtileri olan cihazları olan Secure Email Cloud müşterileriyle iletişime geçti ve kurtarma ve düzeltme çalışmalarında olduğunu açıkladı.

Güvenlik Açığı ve Düzeltme

Zafiyetin var olması için iki koşul gereklidir: File Reputation etkinleştirilmeli ve posta politikasına bağlı olarak Advanced Malware Protection'ın bir parçası olmalıdır, Content Scanner Tools paketi ise 25.3.0.5525 sürümünden daha eski olmalıdır. Etkilenen AsyncOS sürümlerinde fiziksel ve sanal ağ geçitleri güvensizdir, Secure Email and Web Manager ve Secure Web Appliance etkilenmez. En hızlı düzeltme, yeniden başlatma gerektirmeden devreye giren Content Scanner Tools'u 25.3.0.5525 veya daha yeni bir sürüme güncellemektir. AsyncOS'un tam düzeltmesi 15.5.5-014 ve 16.5.0-780 sürümlerinde mevcuttur ve bunları Cisco 14 Eylül'de yayımladı. 16.5'ten daha eski ağ geçitlerinin 16.5.0-780'a geçmesi gerekmektedir. Geçici bir çözüm yoktur.

İhlalin Tespiti

Cisco, saldırı girişimlerini kontrol etmek için tek bir komut sunar: grep "System Security" system_logs. Bu komut, ihlal göstergesinin bulunup bulunmadığını, taramanın tamamlanıp tamamlanmadığını veya göstergenin tespit edilip edilmediğini belirten dört mesajdan birini döndürür. Temiz bir sonuç güvenlik garantisi çünkü root erişimine sahip bir saldırgan kanıtları silebilir veya gizleyebilir. Cisco, cihaz dışında güvenlik duvarı ve ağ günlüklerini beklenmedik yüklemeler veya indirmeler açısından kontrol etmeyi önerir. Güvenliği ihlal edilmiş sanal cihazlar durumunda Cisco, yeni erişim bilgileriyle yeniden kurulum yapmayı önerir ve güncellemenin adli verileri ve günlükleri yok edeceği konusunda uyarır. Küme üyeleri SSH anahtar çiftleriyle kimlik doğrulama yapar, bu nedenle kümede en az bir güvenliği ihlal edilmiş cihaz varsa, tüm üyelerin geri yüklenmesi gerekir.

Ay İkinci Kullanılan Güvenlik Açığı

Bu, Cisco'nun bir ay içinde aktif saldırı doğruladığı ikinci Secure Email Gateway güvenlik açığıdır. 14 Eylül'de yayımlanan CVE-2026-76461, e-posta ayrıştırmasındaki SQL enjeksiyonu güvenlik açığı olup, yetkisiz göndericinin root yetkileriyle komut çalıştırmasına da olanak tanır. Bu açık tüm yapılandırmaları etkiler ve aynı gün CISA'nın bilinen kullanılan zafiyetler kataloğuna eklendi. İki güvenlik açığı yazılımın farklı bölümlerinde yer alır ve Cisco bu saldırıları birleştirmez. Eylül sertleştirme güncellemesi, dahili güvenlik açıklarını zafiyet sınıflarına göre beş gruplu CVE'de birleştirdi ve Cisco Perşembe günü bildirimini güncelleyerek bunlardan ikisinin zaten aktif olarak kullanıldığını belirtti. Bu, bu cihazlarda Cisco'nun kullanımını doğruladığı üçüncü root düzeyli güvenlik açığıdır ve bu, Çin ile bağlantılı UAT-9686 grubunun spam karantina işlevselliğindeki zero-day, CVE-2025-20393'ü kullanmasının ardından, Aralık ayından sonra doğrulandı.

Kaynaklar: The Hacker News