Обход пути в модуле AMP Cisco Secure Email даёт злоумышленнику права root

Уязвимость CVE-2026-76519 в модуле Advanced Malware Protection (AMP, подсистема защиты от вредоносного ПО) шлюза Cisco Secure Email Gateway позволяет удалённому атакующему записывать произвольные файлы и выполнять команды с правами root. Оценка по CVSS 3.1 составляет 9,8, по устаревшей шкале CVSS 2.0 - 10. Эксплойт (вредоносный код, использующий уязвимость) уже опубликован, а сама проблема вошла в каталог известных эксплуатируемых уязвимостей CISA.

CVE-2026-76519 в Cisco Secure Email и риск выполнения команд

Проблема относится к классу "обход относительного пути" (CWE-23). Ошибка кроется в обработке имени каталога: модуль AMP неверно ограничивает путь, который приходит вместе с проверяемыми данными. Подставив специальным образом сформированную строку, атакующий выходит за пределы отведённой директории. В результате он получает возможность записать файл туда, где система его затем исполняет.

Такая последовательность превращает ошибку в пути в полный контроль над устройством. Запись файла сама по себе неприятна, но куда важнее второе следствие - выполнение команд с максимальными привилегиями. Шлюз Secure Email Gateway стоит на границе сети и обрабатывает почту из внешнего мира. Поэтому уязвимость открывает удалённый доступ без предварительной аутентификации: ни логин, ни учётная запись злоумышленнику не нужны.

Уязвимы версии AsyncOS до 15.5.5-014, ветка 16.0 и сборки до 16.5.0-780. В перечне затронутого ПО также числятся многочисленные выпуски Cisco Secure Email - от 13.0.0-392 до 16.0.4-016. Иными словами, под удар попадают организации, которые годами не меняли платформу и работают на ветках 13.x или 14.x. Для крупных почтовых инфраструктур это типичная картина: шлюз настраивали один раз и с тех пор лишь меняли правила фильтрации.

Эксплуатация не осталась теоретической. Производитель подтвердил уязвимость, а публичные источники сообщают об использовании в реальных атаках в качестве уязвимости нулевого дня (0-day, то есть на момент атаки исправления ещё не было). Доказательство концепции тоже выложено в открытый доступ на GitHub. Такой набор факторов снижает порог входа: для попытки атаки не нужны ни глубокие знания, ни собственные наработки.

Дата выявления - 14 октября 2026 года. Именно тогда стало известно о проблеме, и тогда же началась работа над исправлением. В Банке данных угроз безопасности информации (BDU) запись получила номер BDU:2026-16580. Статус уязвимости - подтверждена производителем, способ устранения - обновление программного обеспечения.

Cisco выпустила исправленные сборки, их номера перечислены в бюллетене вендора cisco-sa-esa-afw-zqYJkjxp. Обновление закрывает и саму ошибку в путях, и возможность записи файлов в исполняемые каталоги. Для веток 13.x, 14.x, 15.x и 16.x подготовлены отдельные релизы, поэтому администраторам важно ориентироваться на свою линейку, а не на самую свежую версию из списка.

Ограничиться установкой патча на одном устройстве недостаточно. В почтовых инфраструктурах обычно несколько шлюзов: входящий, исходящий, резервный, тестовый. Если обновить только основной, резервный останется точкой входа. Инвентаризация всех узлов с Secure Email Gateway - первый шаг, который стоит сделать до планового обновления. Проверить версии можно через веб-интерфейс администрирования или командную строку устройства.

Интерфейсы управления шлюзом не должны быть доступны из интернета. Эта мера не устраняет уязвимость, зато сокращает число сценариев, при которых атакующий добирается до AMP напрямую. Сегментация сети и ограничение доступа к административным панелям по спискам разрешённых адресов снижают риск даже при задержке с установкой обновлений. Журналы шлюза полезно просмотреть на предмет необычных обращений к модулю проверки вложений за последние недели.

Отдельного внимания заслуживает публичный эксплойт. Когда рабочий код доступен всем, временное окно между раскрытием сведений об уязвимости и началом массовых попыток сжимается до считаных дней. Крупные сканеры уязвимостей быстро добавляют проверки, а вслед за ними подтягиваются и менее квалифицированные атакующие. Для пограничного сервиса, который принимает почту от кого угодно, такая динамика означает одно: откладывать обновление рискованно.

История с CVE-2026-76519 показывает, насколько чувствительны почтовые шлюзы к ошибкам в обработке путей. Компонент, который разбирает вложения и архивы, работает с недоверенными данными по определению. Любая неточность в проверке имён файлов и каталогов здесь оборачивается не косметическим дефектом, а прямым путём к выполнению команд. Производителям таких компонентов приходится проверять каждую операцию с файловой системой, а администраторам - держать пограничные устройства в графике обновлений наравне с серверами домена.

CVE-2026-76519 в Cisco Secure Email и риск выполнения команд

Ссылки