Cisco устранила уязвимость нулевого дня в Secure Email Gateway, которая использовалась в атаках

Компания Cisco предупредила своих клиентов о необходимости установки исправлений для критической уязвимости нулевого дня в Secure Email Gateway, которую злоумышленники использовали в ходе атак.

В сентябре 2026 года группа PSIRT компании Cisco обнаружила активную эксплуатацию данной проблемы. Уязвимость, получившая идентификатор CVE-2026-76461, была найдена в логике разбора электронной почты программного обеспечения Cisco AsyncOS для Secure Email Gateway. Она затрагивает как виртуальные, так и физические устройства, независимо от их конфигурации.

Успешная эксплуатация этой ошибки позволяет неавторизованным удаленным злоумышленникам отправлять специально сформированные сообщения с вредоносными SQL-запросами. Это может привести к выполнению произвольных команд с привилегиями суперпользователя root в базовой операционной системе устройства.

Cisco предоставила индикаторы компрометации и рекомендовала специалистам по защите сетей искать подозрительные SQL-запросы в журналах почты каждого устройства кластера. Администраторам также следует проверять сетевые журналы и логи межсетевых экранов на предмет подозрительной активности, включая загрузки с внешних или вредоносных IP-адресов, так как атакующие могут удалять следы своего присутствия.

Организация Shadowserver отслеживает более 400 устройств Cisco Secure Email Gateway, однако она не предоставляет данных о том, сколько из них являются приманками или уже защищены от атак. Агентство CISA добавило уязвимость CVE-2026-76461 в свой каталог известных эксплуатируемых уязвимостей и потребовало от федеральных агентств обновить системы до 17 сентября.

Помимо этого, Cisco устранила четыре другие критические уязвимости, затрагивающие устройства Secure Email Gateway и Secure Email and Web Manager, но сообщила об отсутствии доказательств их использования в реальных атаках. Ранее, в январе, компания исправила другую серьезную ошибку в Cisco AsyncOS, которая эксплуатировалась с ноября 2025 года. Также стало известно, что три группы, включая государственные хакеры и операторов программ-вымогателей, использовали две уязвимости в Secure Firewall Management Center. С ноября 2021 года CISA отметила 98 уязвимостей Cisco как активно эксплуатируемые, семь из которых использовались группировками вымогателей.