Cisco предупредила об атаках на критический баг Secure Email Gateway
Cisco сообщила об активной эксплуатации CVE-2026-76519 в Secure Email Gateway: критическая уязвимость с оценкой CVSS 9,8 позволяет неавторизованному отправителю через письмо со специально сформированным вложением записывать файлы в операционную систему устройства и потенциально запускать команды с правами root. Исправление доступно в Content Scanner Tools 25.3.0.5525 и новее, а также в сборках AsyncOS 15.5.5-014 и 16.5.0-780.
Какие устройства затронуты
Экспозиция возникает только при одновременном выполнении двух условий: сервис File Reputation включён и назначен почтовой политике, а версия Content Scanner Tools ниже 25.3.0.5525. File Reputation входит в функцию Advanced Malware Protection и обрабатывает вложения.
Проблема касается физических и виртуальных шлюзов на уязвимых версиях AsyncOS. По данным Cisco, Secure Email and Web Manager и Secure Web Appliance этой уязвимости не подвержены.
Проверить настройку File Reputation можно в разделах Mail Policies, Incoming Mail Policies или Outgoing Mail Policies, затем в настройках Advanced Malware Protection для выбранной политики. Версию сканирующих компонентов Cisco предлагает посмотреть командой contentscannerstatus в интерфейсе командной строки.
Как закрыть уязвимость
Самый быстрый путь — обновить Content Scanner Tools до версии 25.3.0.5525 или новее. Если автоматическое обновление компонентов включено, администратору всё равно следует подтвердить фактическую версию через contentscannerstatus, а не полагаться на сам факт включённой опции.
При отключённых автоматических обновлениях Cisco рекомендует выполнить команду contentscannerupdate либо включить обновления в меню Security Services, Service Updates. Это обновление устанавливается без обновления ПО и без перезагрузки устройства.
Полное исправление входит в AsyncOS 15.5.5-014 для ветки 15.5 и AsyncOS 16.5.0-780 для ветки 16.5. Для ветки 16.0 Cisco не указала исправленную сборку и предлагает переходить на поддерживаемый выпуск. Компания также рекомендует устройствам на версиях ниже 16.5 перейти на 16.5.0-780.
Проверка возможной компрометации
Для поиска попыток эксплуатации Cisco предлагает на устройстве выполнить grep "System Security" system_logs. Проверку необходимо запускать на каждом участнике кластера. Сообщение об обнаруженном индикаторе компрометации требует обращения в Cisco Technical Assistance Center.
Чистый результат не исключает взлом: атакующий с правами root может удалить или скрыть следы. Поэтому Cisco советует дополнительно изучить внешние журналы межсетевых экранов и сети на предмет неожиданных выгрузок на внешние IP-адреса и загрузок с вредоносных адресов. Контекст активной эксплуатации дополняет другие заметные угрозы и уязвимости Cisco, где собраны другие заметные угрозы и уязвимости Cisco.
Что делать при подтверждённом взломе
Для физического устройства Cisco рекомендует обратиться в TAC и предоставить инженерам удалённый доступ для расследования. Виртуальный шлюз следует сначала сохранить для криминалистического анализа: обновление уже скомпрометированного экземпляра уничтожает журналы и доказательства.
После этого необходимо развернуть новую виртуальную машину на исправленной версии, вручную восстановить конфигурацию без импорта прежнего файла, обновить учётные данные и криптографический материал. Если в кластере скомпрометирован хотя бы один узел, Cisco рекомендует восстановить все узлы, поскольку они используют SSH-ключи для взаимной аутентификации.
Для бизнеса первоочередная задача — подтвердить версию Content Scanner Tools и статус File Reputation, установить исправление и проверить каждый узел кластера. При признаках компрометации нельзя ограничиваться обновлением: необходимо сохранить данные для расследования и выполнить восстановление по процедуре Cisco.