Aktivni napadi na Cisco Secure Email Gateway traže hitnu proveru
Cisco je upozorio na aktivne napade koji iskorišćavaju kritičnu ranjivost CVE-2026-76519 u proizvodu Secure Email Gateway. Propust ima ocenu CVSS 9.8, a napadač bez autentifikacije može slanjem e-poruke sa posebno oblikovanim prilogom upisati fajlove u operativni sistem uređaja i potencijalno izvršavati komande sa root privilegijama.
Pogođeni su fizički i virtuelni gateway uređaji samo kada su istovremeno ispunjena dva uslova: servis File Reputation je uključen i pridružen politici pošte, a paket Content Scanner Tools je stariji od verzije 25.3.0.5525. Secure Email and Web Manager i Secure Web Appliance nisu obuhvaćeni ovim propustom.
Ko je izložen i kako se primenjuje ispravka
File Reputation je deo AMP funkcionalnosti za priloge. Njegovo stanje administratori mogu proveriti u odeljku Mail Policies, kroz Incoming Mail Policies ili Outgoing Mail Policies, pa u Advanced Malware Protection. Verzija skenerskog paketa prikazuje se CLI komandom contentscannerstatus.
Najbrži put do ispravke je ažuriranje Content Scanner Tools na verziju 25.3.0.5525 ili noviju. Ako su automatska ažuriranja uključena, potrebno je potvrditi da je paket zaista primenjen; kada nisu uključena, ažuriranje se može pokrenuti komandom contentscannerupdate ili uključiti u Security Services > Service Updates. Ažuriranje skenera ne zahteva nadogradnju softvera niti restart uređaja.
Cisco navodi da su prve ispravljene AsyncOS verzije 15.5.5-014 za granu 15.5 i 16.5.0-780 za granu 16.5. Za granu 16.0 nema ispravljenog buildu-a, pa je preporučen prelazak na fiksno izdanje. Uređaj na verziji 16.0.4-302 nije zaštićen od ovog propusta samo zato što je dobio ispravku za septembarsku SQL injekciju.
Provera tragova kompromitacije
Cisco za proveru pokušaja iskorišćavanja preporučuje komandu grep "System Security" system_logs. Rezultat može ukazati na pronađen indikator kompromitacije, neuspešno bezbednosno skeniranje ili odsustvo indikatora. Proveru treba pokrenuti na svakom članu klastera.
Čist rezultat ne dokazuje da kompromitacije nije bilo, jer napadač sa root pristupom može ukloniti ili sakriti tragove. Zato je potrebno proveriti i firewall i mrežne zapise izvan samog uređaja, posebno neočekivano slanje podataka ka spoljnim IP adresama i preuzimanja sa zlonamernih adresa. Širi kontekst aktivno iskorišćenih Cisco propusta pruža širi kontekst aktivno iskorišćenih Cisco propusta i pokazuje zašto se provera ne sme svesti samo na instalaciju zakrpe.
Oporavak kompromitovanih sistema
Za fizički uređaj Cisco traži obraćanje tehničkoj podršci i omogućavanje udaljenog pristupa radi istrage. Za kompromitovanu virtuelnu instancu preporučen je drugačiji redosled: najpre sačuvati forenzičke podatke, zatim postaviti novu virtuelnu mašinu na ispravljenoj verziji i rekonstruisati konfiguraciju bez uvoza stare konfiguracione datoteke.
Nakon toga treba obnoviti kredencijale i kriptografski materijal, uz nastavak nadzora nad neuobičajenim ponašanjem. Pošto članovi klastera međusobno koriste SSH parove ključeva, kompromitacija jednog člana može ugroziti ostale; Cisco zato preporučuje obnovu svih članova klastera koji sadrži makar jedan kompromitovan uređaj. Praktičan prioritet za organizacije je da potvrde verziju skenera, provere svaki uređaj i očuvaju dokaze pre bilo kakve nadogradnje sumnjive virtuelne instance.