Cisco memperingatkan eksploitasi aktif kerentanan kritis pada Secure Email Gateway yang memungkinkan eksekusi perintah root

purple and blue light digital wallpaper — JJ Ying / Unsplash

Cisco mengeluarkan peringatan keamanan mendesak mengenai kerentanan kritis yang sedang dieksploitasi secara aktif pada produk Secure Email Gateway mereka. Celah keamanan ini, yang dilacak dengan identifikasi CVE-2026-76519, memungkinkan penyerang jarak jauh yang tidak terautentikasi untuk mengirim surel berisi lampiran file yang dirancang khusus guna menulis file ke dalam sistem operasi perangkat dan menjalankan perintah dengan hak akses root. Serangan nyata terhadap kerentanan ini terdeteksi pada bulan Oktober 2026 setelah ditemukan melalui pemindaian keamanan internal oleh Cisco sendiri.

Tingkat keparahan kerentanan ini dinilai sangat tinggi dengan skor dasar 9.8 dalam sistem penilaian umum. Eksploitasi berhasil hanya jika dua kondisi spesifik terpenuhi secara bersamaan pada perangkat yang terdampak. Kondisi pertama adalah aktifnya layanan Reputasi File yang merupakan bagian dari fitur Perlindungan Malware Tingkat Lanjut dan terikat pada kebijakan surel. Kondisi kedua adalah penggunaan alat Pemindai Konten dengan versi yang lebih rendah dari 25.3.0.5525. Kerentanan ini memengaruhi gerbang surel baik dalam bentuk fisik maupun virtual yang menjalankan sistem operasi AsyncOS versi rentan, sementara manajer surel dan web serta peralatan web aman tidak terdampak oleh masalah ini.

Solusi tercepat untuk menanggulangi ancaman ini adalah memperbarui alat Pemindai Konten ke versi 25.3.0.5525 atau yang lebih baru. Proses pembaruan ini dapat dilakukan tanpa perlu meningkatkan perangkat lunak utama atau memulai ulang perangkat. Administrator sistem dapat memeriksa versi saat ini menggunakan perintah status pemindai konten dan menjalankan perintah pembaruan pemindai konten melalui antarmuka baris perintah jika pembaruan otomatis dinonaktifkan. Untuk perbaikan pada tingkat sistem operasi AsyncOS, Cisco telah menyertakan tambalan sejak pertengahan September 2026 dalam rilis pengerasan tertentu, meskipun beberapa versi perantara tidak mencakup perbaikan ini. Cisco merekomendasikan semua perangkat yang menjalankan versi di bawah 16.5 untuk segera bermigrasi ke versi 16.5.0-780 karena tidak ada solusi alternatif sementara untuk kerentanan ini.

Pelanggan yang menggunakan layanan surel awan terkelola telah menerima pembaruan pemindai yang diperbaiki secara otomatis oleh Cisco. Perusahaan tersebut juga telah menghubungi pelanggan yang menunjukkan tanda-tanda potensi kompromi sistem. Verifikasi apakah perangkat telah diserang dapat dilakukan dengan mencari entri keamanan sistem tertentu dalam log sistem pada semua mesin dalam klaster. Namun, ketiadaan indikator yang jelas tidak menjamin keamanan karena penyerang yang memperoleh hak akses root mungkin telah menghapus jejak aktivitas mereka. Administrator disarankan untuk memeriksa log firewall dan jaringan tambahan guna mendeteksi aktivitas unggah atau unduh data yang tidak biasa ke alamat protokol internet eksternal.

Jika peralatan virtual dikonfirmasi telah disusupi, Cisco menyarankan pengumpulan bukti forensik sebelum melakukan peningkatan perangkat lunak karena proses tersebut dapat menghancurkan log dan bukti digital. Langkah selanjutnya melibatkan pembuatan mesin virtual baru pada versi yang telah diperbaiki, konfigurasi ulang tanpa mengimpor file konfigurasi lama, serta penggantian semua kredensial, kunci, dan sertifikat. Untuk peralatan fisik, administrator harus menghubungi pusat bantuan teknis Cisco. Karena mesin dalam klaster saling mengautentikasi menggunakan pasangan kunci protokol keamanan lapisan transportasi, pemulihan harus dilakukan pada seluruh mesin dalam klaster jika satu saja ditemukan telah dikompromikan.

Insiden ini menandai kerentanan kedua pada Secure Email Gateway yang dikonfirmasi sedang dieksploitasi secara aktif dalam waktu satu bulan, menyusul kerentanan injeksi bahasa kueri terstruktur yang terungkap pada September 2026. Kedua kerentanan tersebut berada di bagian perangkat lunak yang berbeda dan belum ada konfirmasi mengenai keterkaitan antara kedua serangan tersebut. Ini juga merupakan kasus ketiga sejak Desember 2025 di mana perangkat dalam kelompok ini mengalami serangan yang berhasil memperoleh hak akses root, mengikuti insiden sebelumnya yang melibatkan kelompok peretas yang dikaitkan dengan Tiongkok.