---
title: Cisco alerte à une exploitation active d'une faille critique sur Secure Email Gateway
url: https://www.dataloco.com/fr/cisco-alerte-a-une-exploitation-active-dune-faille-critique-sur-secure-email-gateway
published: 2026-10-17T08:26:15+00:00
language: fr
section: Sécurité
source: https://www.techtalkthai.com/cisco-secure-email-gateway-critical-flaw-actively-exploited-root/
organizations: Cisco, CISA
publisher: Dataloco
---

# Cisco alerte à une exploitation active d'une faille critique sur Secure Email Gateway

Cisco a émis un avertissement de sécurité concernant une vulnérabilité critique identifiée sous le numéro CVE-2026-76519 sur son produit Secure Email Gateway. Cette faille est actuellement exploitée par des attaquants pour lancer des attaques actives. L'incident permet à des acteurs malveillants d'envoyer des courriels contenant des fichiers spécialement conçus à travers la passerelle. Ces fichiers permettent d'écrire des données sur le système d'exploitation de l'appareil et d'exécuter des commandes avec des privilèges root sans nécessiter d'authentification préalable.

La vulnérabilité CVE-2026-76519 a obtenu un score CVSS de 9,8, indiquant une gravité maximale. Elle a été découverte lors d'un scan de sécurité interne effectué par Cisco. L'entreprise a confirmé la présence d'attaques actives dès le mois d'octobre 2026. Les appareils affectés doivent remplir deux conditions précises pour être vulnérables. La première condition est l'activation du service File Reputation, qui fait partie de la fonctionnalité Advanced Malware Protection. La seconde condition est l'utilisation de l'outil Content Scanner Tools dans une version antérieure à la 25.3.0.5525. Cette vulnérabilité concerne à la fois les passerelles physiques et virtuelles qui fonctionnent avec des versions vulnérables d'AsyncOS.

Les produits Secure Email and Web Manager et Secure Web Appliance ne sont pas affectés par cette faille. Cisco n'a pas encore divulgué le nombre d'appareils attaqués, l'identité du groupe responsable ou si des privilèges root ont déjà été obtenus sur des équipements spécifiques. La solution la plus rapide consiste à mettre à jour l'outil Content Scanner Tools vers la version 25.3.0.5525 ou une version ultérieure. Cette mise à jour peut être installée sans nécessiter de redémarrage de l'appareil ni de mise à niveau logicielle globale. Les administrateurs peuvent vérifier la version actuelle à l'aide de la commande contentscannerstatus. Si les mises à jour automatiques sont activées, la commande contentscannerupdate peut être exécutée via l'interface en ligne de commande.

Au niveau du système AsyncOS, Cisco a inclus des correctifs depuis le 14 septembre 2026 dans les versions 15.5.5-014 et 16.5.0-780. Ces versions ont été publiées en même temps qu'une release de durcissement. La version AsyncOS 16.0 ne dispose pas encore de build corrigé, la version 16.0.4-302 ne corrigeant pas cette vulnérabilité. Cisco recommande de migrer tous les appareils utilisant une version antérieure à 16.5 vers la version 16.5.0-780. Il n'existe aucun contournement pour cette faille. Pour les clients du service managé Secure Email Cloud, Cisco a installé le scanner corrigé et contacte les clients présentant des signes de compromission.

Pour vérifier si un appareil a été attaqué, les administrateurs doivent utiliser la commande grep "System Security" system_logs sur chaque appareil du cluster. L'absence de résultats anormaux ne garantit pas la sécurité, car un attaquant ayant des privilèges root pourrait avoir effacé les traces. Il est conseillé d'examiner les journaux des pare-feu et du réseau pour détecter des transferts de données vers des adresses IP externes inhabituelles. Si un appareil virtuel est compromis, Cisco recommande de conserver les données forensiques avant toute mise à niveau, car celle-ci détruirait les journaux. Il faut ensuite créer une nouvelle machine virtuelle sur une version corrigée, la configurer sans importer l'ancienne configuration et changer tous les identifiants, clés et certificats. Pour les appareils physiques, il faut contacter le support technique Cisco. Comme les appareils d'un cluster s'authentifient mutuellement via des paires de clés SSH, tous les appareils du cluster doivent être restaurés si l'un d'eux est compromis.

Cette vulnérabilité est la deuxième faille sur Secure Email Gateway confirmée comme exploitée activement en un seul mois. Elle suit la faille d'injection SQL CVE-2026-76461 dans le module de traitement des courriels, divulguée en septembre 2026 et ajoutée au catalogue des vulnérabilités exploitées connues de CISA. Les deux failles se trouvent dans des parties différentes du logiciel et Cisco n'a pas précisé si les deux attaques sont liées. C'est également la troisième faille de niveau root sur cette gamme d'appareils exploitée activement depuis décembre 2025. À cette date, le groupe de pirates UAT-9686, lié à la Chine, avait utilisé une faille zero-day CVE-2025-20393 dans la fonction de quarantaine des courriers indésirables pour attaquer les équipements, avant que Cisco ne publie un correctif en janvier 2026.

## This story in other languages

- [한국어](https://www.dataloco.com/ko/story-58)
- [العربية](https://www.dataloco.com/ar/sysko-ththr-mn-astghlal-thghr-hrg-fy-boabat-albryd-alalktrony-tmnh-slahyat-algthr)