Cisco Secure Email Gateway: path traversal exploatată, CVSS 9.8

📌 Evoluții ulterioare: Zero-day Cisco Secure Email Gateway: versiuni corectate și IoC (14 octombrie 2026)

Pe 14 octombrie 2026, CISA a adăugat în catalogul Known Exploited Vulnerabilities (KEV) vulnerabilitatea CVE-2026-76519 din Cisco Secure Email Gateway, în funcția Advanced Malware Protection (AMP). Un atacator de la distanță și neautentificat poate scrie fișiere arbitrare în sistemul de operare al gateway-ului și poate executa comenzi cu privilegii de root, trimițând un e-mail cu un atașament creat special. Gravitatea este critică: CVSS 3.1 9.8.

Includerea în catalogul KEV arată că CISA are dovezi de exploatare activă. În aceeași zi, și NCSC-NL, centrul național de securitate cibernetică al Țărilor de Jos, a publicat un aviz despre vulnerabilitate.

Ce s-a întâmplat

CISA a inclus CVE-2026-76519 în KEV cu descrierea „Cisco Secure Email Gateway Relative Path Traversal Vulnerability” și a stabilit 17 octombrie 2026 ca termen pentru agențiile federale americane: trei zile. În catalog, folosirea în campanii ransomware apare ca „necunoscută”.

Avizul cere aplicarea măsurilor de atenuare conform instrucțiunilor producătorului, în acord cu directiva BOD 26-04 privind prioritizarea actualizărilor în funcție de risc și cu cerințele CISA de triaj criminalistic. Pentru serviciile cloud se aplică indicațiile aceleiași directive; dacă nu există măsuri de atenuare, produsul trebuie scos din uz. Avizul cere și evaluarea expunerii la Internet a fiecărui sistem.

Avizul NCSC-NL (NCSC-2026-0429) este clasificat [H/H], adică probabilitate și impact ridicate pe scara instituției, iar titlul său arată că vulnerabilitatea a fost corectată. Textul complet al avizului olandez nu era disponibil la momentul redactării.

Nici CISA, nici fișa NVD nu oferă detalii despre atacurile observate, autori sau victime.

Detalii tehnice

• CVE: CVE-2026-76519, publicată pe 14 octombrie 2026. Fișa NVD are starea „Undergoing Analysis”: NIST nu și-a finalizat încă evaluarea.
• Produs: Cisco Secure Email Gateway, funcția Advanced Malware Protection (AMP). Avizul Cisco are identificatorul cisco-sa-esa-afw-zqYJkjxp și apare printre referințele fișei NVD.
• Condiție: potrivit descrierii, problema provine din gestionarea incorectă a atașamentelor de e-mail atunci când serviciul de file reputation este activat.
• Mecanism: atacatorul trimite prin gateway un e-mail cu un atașament creat special. Dacă exploatarea reușește, poate scrie fișiere arbitrare în sistemul de operare de bază și poate executa comenzi cu privilegii de root.
• Gravitate: CVSS 3.1 9.8 (critică), AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, scor furnizat de Cisco. Vectorul indică un atac prin rețea, de complexitate redusă, fără privilegii și fără interacțiunea utilizatorului: nu trebuie ca cineva să deschidă atașamentul, pentru că îl procesează chiar gateway-ul.
• Slăbiciune: CWE-23 (Relative Path Traversal), adică folosirea unor secvențe de cale relative pentru a scrie în afara directorului prevăzut.
• Versiuni: sursele disponibile nu enumeră versiunile afectate și nici pe cele corectate. Referința este avizul Cisco.
• Indicatori de compromitere: niciunul publicat în surse.
• MITRE ATT&CK: pentru un gateway care primește e-mail din Internet, exploatarea corespunde tehnicii T1190, Exploit Public-Facing Application.

Impactul pentru companiile europene și italiene

Gateway-ul de e-mail este primul sistem care primește mesajele adresate companiei și, prin definiție, este accesibil din Internet. Potrivit descrierii, atacatorului îi este suficient să treacă prin gateway un e-mail cu atașamentul creat special: nu are nevoie de credențiale și nici de greșeala unui angajat. O compromitere cu privilegii de root exact în punctul prin care trece poșta primită trebuie verificată cu prioritate, pe lângă actualizare.

Funcția afectată, analiza atașamentelor cu file reputation, este tocmai cea pe care companiile o activează ca să se protejeze de malware-ul trimis prin e-mail: cele care au activat-o sunt cele care îndeplinesc condiția descrisă.

Pentru entitățile NIS2, vulnerabilitatea intră în gestionarea vulnerabilităților, cu priorități și termene documentate; dacă gateway-ul este administrat de un furnizor, verificarea trebuie făcută împreună cu acesta. Un incident semnificativ trebuie notificat CSIRT-ului național, care în Italia este CSIRT Italia din cadrul ACN. Dacă compromiterea afectează e-mailuri cu date personale, trebuie evaluată și ca încălcare a securității datelor conform GDPR, cu eventuala notificare a autorității de supraveghere în 72 de ore. În sănătate, unde e-mailul transportă adesea rezultate medicale și date despre sănătate, verificarea trebuie făcută fără întârziere.

Ce ai de făcut acum

1. Fă inventarul echipamentelor Cisco Secure Email Gateway, inclusiv al celor administrate de furnizori, și al versiunii fiecăruia.
2. Verifică configurația: controlează dacă este activă funcția AMP cu serviciul de file reputation, condiția indicată în descrierea CVE.
3. Aplică instrucțiunile Cisco: urmează avizul cisco-sa-esa-afw-zqYJkjxp pentru versiunile corectate și eventualele măsuri de atenuare. Dacă vrei să modifici configurația AMP ca măsură temporară, verifică mai întâi în avizul Cisco dacă este un workaround indicat de producător.
4. Dacă nu poți interveni imediat: așa cum cere CISA, dacă nu există măsuri de atenuare, ia în calcul scoaterea echipamentului din serviciu.
5. Caută urme de exploatare: pentru că vulnerabilitatea este deja exploatată, actualizarea nu este suficientă. Verifică fișierele create sau modificate neașteptat pe gateway, procesele și comenzile neobișnuite, conexiunile de ieșire anormale și mesajele cu atașamente neobișnuite în jurnalele de e-mail; folosește procedurile de verificare furnizate de Cisco, dacă există.
6. Dacă găsești semne de compromitere: păstrează jurnalele și dovezile pentru analiza criminalistică înainte de reinstalare, apoi schimbă credențialele, cheile și certificatele configurate pe gateway.

Cum ajută ARXDOME

ARX Expose verifică serviciile pe care compania ta le expune în Internet, produsele recunoscute și vulnerabilitățile lor cunoscute, inclusiv sistemele de e-mail accesibile din exterior. ARX Sentry colectează jurnale și evenimente de la servere și firewall-uri într-un colector central, astfel încât conexiunile anormale către și dinspre gateway rămân înregistrate și în afara echipamentului. ARX Horizon îmbogățește evenimentele cu liste de amenințări și informații despre vulnerabilități.

Ultima actualizare: 14 octombrie 2026