Cisco ujawnia krytyczne luki w Secure Email Gateway wykorzystywane w atakach

Yellow and green cables are neatly connected — Albert Stoynov / Unsplash

Cisco ostrzega przed luką krytyczną CVE-2026-76519 w Secure Email Gateway, która jest aktywnie wykorzystywana przez atakujących. Luka pozwala na wykonanie poleceń z uprawnieniami root bez autoryzacji. Atakujący mogą wysyłać spersonalizowane załączniki e-mail przez gateway, aby zapisać pliki w systemie operacyjnym urządzenia. Luka o numerze CVE-2026-76519 otrzymała ocenę CVSS 9.8. Została odkryta podczas wewnętrznych testów bezpieczeństwa Cisco i zaobserwowana w atakach w październiku 2026 roku. Urządzenia objęte luką muszą spełniać dwa warunki: włączona usługa File Reputation, będąca częścią funkcji Advanced Malware Protection, oraz powiązanie z polityką pocztową. Dodatkowo używana musi być wersja Content Scanner Tools niższa niż 25.3.0.5525. Luka dotyczy zarówno urządzeń fizycznych, jak i wirtualnych korzystających z AsyncOS. Najszybszym rozwiązaniem jest aktualizacja Content Scanner Tools do wersji 25.3.0.5525 lub nowszej, co można wykonać bez restartu urządzenia. Administratorzy mogą sprawdzić wersję za pomocą polecenia contentscannerstatus, a przy wyłączonym automatycznym aktualizowaniu uruchomić je za pomocą contentscannerupdate przez CLI.

W przypadku poprawek na poziomie AsyncOS Cisco wprowadziło łatki 14 września 2026 w wersjach 15.5.5-014 oraz 16.5.0-780 wydawanych wraz z release hardening. Wersja AsyncOS 16.0 nie posiada poprawki (wersja 16.0.4-302 nie rozwiązuje tego problemu). Cisco zaleca przesunięcie urządzeń korzystających z wersji niższej niż 16.5 na wersję 16.5.0-780. Luka nie posiada workaround. Użytkownicy usługi Secure Email Cloud managed otrzymali już zaktualizowany scanner. Weryfikację obecności ataku można przeprowadzić poleceniem grep "System Security" w system_logs na każdym urządzeniu w klastrze, jednak brak wykrytych anomalii nie gwarantuje bezpieczeństwa, ponieważ atakujący z uprawnieniami root mogą usunąć ślady. Administratorzy powinni dodatkowo sprawdzać logi firewall i sieci pod kątem nietypowych połączeń z zewnętrznymi adresami IP. W przypadku zainfekowania wirtualnego urządzenia Cisco zaleca tworzenie kopii forensycznej przed aktualizacją, ponieważ upgrade niszczy logi i dowody, a następnie utworzenie nowej maszyny na wersji z poprawką z konfiguracją ustawioną od nowa oraz zmianą credential, kluczy i certyfikatów.

Dla urządzeń fizycznych należy skontaktować się z Cisco TAC. Ze względu na to, że urządzenia w klastrze uwierzytelniają się nawzajem za pomocą par SSH, zaleca się odtworzenie wszystkich urządzeń w klastrze, nawet jeśli zostać zainfekowana została tylko jedna jednostka. Liczba ta jest drugą luką o krytycznym poziomie, którą Cisco potwierdza jako wykorzystywana w atakach w ciągu jednego miesiąca, następującej po luki SQL injection CVE-2026-76461 odkrytej we wrześniu 2026 i dodanej do katalogu Known Exploited Vulnerabilities CISA. Obie luki dotyczą różnych części oprogramowania, a Cisco nie stwierdza, czy ataki te są ze sobą powiązane. Jest to trzecia luka na poziomie root na tych urządzeniach wykorzystywana w atakach od grudnia 2025 roku, kiedy grupa hakerów UAT-9686 powiązana z Chin wykorzystała lukę zero-day CVE-2025-20393 w funkcji spam quarantine.