Cisco знает о реальной эксплуатации уязвимости в почтовых шлюзах Secure Email Gateway. Об атаках стало известно в октябре 2026 года, бюллетень с описанием проблемы компания опубликовала 14 октября 2026 года. Незалогиненный злоумышленник записывает произвольные файлы в операционную систему устройства, а затем выполняет команды с правами суперпользователя. Рейтинг по шкале CVSS 9.8, идентификатор CVE-2026-76519. Под угрозой организации, которые держат собственные шлюзы Cisco, физические и виртуальные.
Уязвимость CVE-2026-76519 в Cisco Secure Email Gateway
Проблема затрагивает компонент Advanced Malware Protection (AMP), то есть встроенную в шлюз защиту от вредоносных программ. Сбой возникает при обработке почтовых вложений. Устройство уязвимо, если в нём включена служба репутации файлов (File Reputation) и назначена на почтовую политику. Злоумышленнику достаточно отправить письмо с особым образом собранным вложением, которое пройдёт через шлюз. Проверка подлинности не нужна, поэтому письмо приходит извне. По классификации CWE-23 уязвимость связана с обходом пути. Обработчик неверно определяет, куда помещать вложение, и допускает выход за пределы разрешённого каталога.
Второе условие - устаревшая версия пакета Content Scanner Tools (служебный набор для проверки содержимого писем). Уязвимы выпуски ниже 25.3.0.5525. Когда оба условия выполнены, запись файлов идёт от имени суперпользователя. Уязвимость открывает путь к полному контролю над устройством. Cisco нашла проблему при внутреннем сканировании безопасности. Обходных мер, которые её закрывают, не существует.
Признаки эксплуатации в журналах
В системных журналах устройства ищут записи с пометкой System Security. Такая запись сообщает либо о найденном признаке компромисса, либо о незавершённой проверке, либо об отсутствии следов. В кластере журналы просматривают на каждом узле.
Права суперпользователя позволяют атакующему стереть или спрятать следы. Поэтому Cisco предлагает сверять сетевые журналы и журналы межсетевого экрана за пределами самого шлюза. Повод для тревоги - неожиданные исходящие соединения с устройства и загрузки с подозрительных адресов.
Версии с исправлением
Правку внесли в AsyncOS 15.5.5-014 и 16.5.0-780. Устройства на ветке 16.0 нужно перевести на исправленный выпуск. Отдельно обновили пакет Content Scanner Tools, начиная с версии 25.3.0.5525. Его установка не требует перезагрузки шлюза и смены всей системы. При включённом автоматическом обновлении делать ничего не нужно. Если автообновление выключено, пакет ставят вручную из командной строки.
Клиентам облачного сервиса Cisco Secure Email Cloud действия не требуются. Компания развернула правки на своей стороне и связалась с теми, у кого нашли признаки компромисса. Уязвимость не затрагивает Secure Email and Web Manager и Secure Web Appliance.
Что делать администраторам
На физическом устройстве поддержка предлагает обращаться в центр технической поддержки Cisco (TAC) и заранее включить удалённый доступ, чтобы ускорить разбор.
На виртуальном шлюзе порядок другой. Сначала сохраните данные для расследования: обновление уничтожает журналы и следы. Затем разверните новую виртуальную машину с исправленной версией, соберите конфигурацию заново без импорта старых файлов и смените учётные данные вместе с ключами. Дальше остаётся следить за аномалиями в работе.
Отдельного внимания требуют кластеры. Узлы доверяют друг другу по SSH-ключам (ключи для защищённого удалённого доступа), и на скомпрометированном устройстве они могут оказаться доступны. Тогда под угрозой другие узлы. Безопасную конфигурацию восстанавливают на каждом участнике кластера, где есть хотя бы один пострадавший узел.
Для снижения риска шлюз не открывают в интернет. Почтовый и управляющий трафик разводят по разным сетевым интерфейсам, устройство ставят за межсетевой экран, а административную панель переводят на защищённый протокол. Ненужные службы отключают, для входа пользователей применяют SAML (стандарт обмена данными для аутентификации) или LDAP (протокол доступа к каталогу пользователей), пароль администратора по умолчанию меняют. Журналы лучше хранить на внешнем сервере.
Почтовый шлюз принимает письма от кого угодно, и это делает подобные уязвимости удобными для атак. Значение имеет не только сам факт эксплуатации, но и скорость реакции: обновление Content Scanner Tools не требует перезагрузки и занимает минуты.
Ссылки
