Cisco попередила про активну експлуатацію критичної вразливості Secure Email Gateway

Активна експлуатація CVE-2026-76519

Cisco попередила, що зловмисники активно використовують критичну вразливість Secure Email Gateway CVE-2026-76519, CVSS 9,8. Вона дозволяє неавторизованому відправнику зі спеціальним вкладенням електронної пошти записувати файли в операційну систему пристрою та зрештою запускати команди з правами root. Cisco виявила вразливість внутрішніми скануваннями та дізналася про атаки в жовтні. Повідомлення не уточнює, скільки пристроїв було атаковано, хто стоїть за цим і чи отримали вони доступ root. Cisco зв’язалася з клієнтами Secure Email Cloud, на пристроях яких були ознаки компрометації, і заявляє, що залучена до відновлення та виправлення.

Вразливість і виправлення

Для вразливості потрібні дві умови: File Reputation має бути увімкненою та прив’язаною до поштової політики як частина Advanced Malware Protection, а пакет Content Scanner Tools має бути старішим за 25.3.0.5525. Уразливі фізичні та віртуальні шлюзи на постраждалих версіях AsyncOS, тоді як Secure Email and Web Manager і Secure Web Appliance — ні. Найшвидше виправлення — оновлення до Content Scanner Tools 25.3.0.5525 або новішої версії, яка встановлюється без перезавантаження. Повне виправлення AsyncOS доступне у випусках 15.5.5-014 і 16.5.0-780, які Cisco випустила 14 вересня. Шлюзи старіші за 16.5 мають перейти на 16.5.0-780. Можливості обійти атаку немає.

Перевірка компрометації

Cisco надає одну команду для перевірки спроб експлуатації: grep "System Security" system_logs. Вона повертає одне з чотирьох повідомлень, яке вказує, чи знайдено індикатор компрометації, чи завершилося сканування, чи індикатор не виявлено. Чистий результат не є гарантією безпеки, бо зловмисник з правами root може видалити або приховати докази. Cisco рекомендує перевіряти зовнішні журнали брандмауера та мережі на наявність несподіваних завантажень або вивантажень. У разі скомпрометованих віртуальних пристроїв Cisco рекомендує перебудувати їх з новими обліковими даними доступу та попереджає, що оновлення знищує криміналістичні дані та журнали. Члени кластера проходять автентифікацію парами ключів SSH, тому якщо в кластері є хоч один скомпрометований пристрій, усі члени мають бути відновлені.

Друга експлуатована вразливість за місяць

Це вже друга вразливість Secure Email Gateway, активну атаку на яку Cisco підтвердила протягом одного місяця. 14 вересня було опубліковано CVE-2026-76461 — вразливість SQL-ін’єкції в парсингу електронної пошти, яка також дозволяє неавторизованому відправнику запускати команди з правами root. Вона стосується всіх конфігурацій і того ж дня була додана до каталогу відомих експлуатованих вразливостей CISA. Дві вразливості стосуються різних частин програмного забезпечення, і Cisco не пов’язує ці атаки. Оновлення вересневих рекомендацій об’єднало внутрішні вразливості за класами вразливості в п’ять групових CVE, а Cisco в четвер оновила повідомлення, що дві з них уже активно експлуатуються. Це також третя вразливість рівня root у цих пристроях, експлуатацію якої Cisco підтвердила після грудня, коли пов’язана з Китаєм група UAT-9686 використала zero-day CVE-2025-20393 у функції карантину спаму.

Джерела: The Hacker News