Cisco corrige falha de dia zero no Secure Email Gateway explorada em ataques

A falha ocorre devido a uma validação insuficiente na lógica de processamento de e-mails. Atacantes remotos e não autenticados podem explorar a vulnerabilidade enviando uma mensagem de e-mail manipulada que contenha instruções SQL maliciosas. Se bem sucedido, o ataque permite a execução de instruções SQL arbitrárias, o que leva à execução de comandos com privilégios de raiz no sistema operacional subjacente.

A Cisco forneceu indicadores de comprometimento e recomendou que defensores de rede procurem por instruções SQL suspeitas nos registros de correio de cada dispositivo do grupo. Administradores também devem verificar registros de rede e de firewall em busca de atividades suspeitas, como uploads e downloads de endereços de internet maliciosos ou externos, pois os atacantes podem apagar evidências da exploração.

A Shadowserver monitora atualmente mais de 400 aparelhos Cisco Secure Email Gateway, mas não detalha quantos são potes de mel ou já foram protegidos. A Cybersecurity and Infrastructure Security Agency adicionou a falha ao seu Catálogo de Vulnerabilidades Exploradas Conhecidas na segunda-feira, determinando que agências federais corrijam seus sistemas até 17 de setembro.

Na mesma segunda-feira, a Cisco resolveu outras quatro vulnerabilidades críticas que afetam aparelhos Secure Email Gateway e Secure Email and Web Manager, embora não haja evidências de que tenham sido exploradas. Anteriormente, em janeiro, a empresa corrigiu a falha CVE-2025-20393, explorada desde novembro de 2025. Além disso, a Cisco revelou que grupos de ransomware e patrocinados por estados exploraram duas falhas no Secure Firewall Management Center. Desde novembro de 2021, a Cybersecurity and Infrastructure Security Agency sinalizou 98 vulnerabilidades da Cisco como exploradas ativamente, incluindo sete utilizadas por gangues de ransomware.