Zero-day Cisco Secure Email Gateway: versiuni corectate și IoC

Vulnerabilitatea CVE-2026-76519 din Cisco Secure Email Gateway (SEG), exploatată ca zero-day, îi permite unui atacator neautentificat să scrie fișiere și să execute comenzi ca root trimițând un email cu un atașament construit special: mecanismul, gravitatea (CVSS 9.8) și includerea în catalogul KEV al CISA sunt descrise în articolul din 14 octombrie. De atunci, avizul Cisco, preluat de BleepingComputer și The Register, și avizul AV26-1042 al Canadian Centre for Cyber Security au adăugat detaliile de care au nevoie cei care administrează gateway-ul: condițiile exacte de vulnerabilitate, versiunile corectate, mesajele de jurnal care indică o compromitere și verificările de făcut după actualizare.

Când este vulnerabil un gateway

Potrivit avizului Cisco, preluat de ambele publicații, sunt afectate appliance-urile SEG, fizice și virtuale, cu o versiune vulnerabilă de Cisco AsyncOS, atunci când sunt îndeplinite ambele condiții:

• serviciul File Reputation, parte din Advanced Malware Protection (AMP), este activ și atribuit unei politici de email;
• versiunea Content Scanner Tools este anterioară versiunii 25.3.0.5525.

Pentru verificare, BleepingComputer indică două controale:

• din linia de comandă, contentscannerstatus arată versiunea Content Scanner Tools folosită;
• în interfața web, caseta „Enable File Reputation” se află la Mail Policies > Incoming Mail Policies > Advanced Malware Protection și în calea echivalentă din Outgoing Mail Policies. Verifică-le pe amândouă: condiția se aplică și emailurilor trimise.

Versiuni corectate

Avizul AV26-1042 al centrului canadian enumeră versiunile de referință:

• Cisco AsyncOS pentru Secure Email Gateway: 15.5 anterioare versiunii 15.5.5-014; 16.5 anterioare versiunii 16.5.0-780;
• Cisco Secure Email and Web Manager: 15.5 anterioare versiunii 15.5.5-006; 16.5 anterioare versiunii 16.5.0-429.

Avizul canadian vorbește despre vulnerabilități la plural și trimite și la „Security Hardening Release” din septembrie 2026 pentru SEG și Secure Email and Web Manager. Cele două publicații, în schimb, descriu CVE-2026-76519 doar pentru SEG: pentru Secure Email and Web Manager e bine să verifici în avizul Cisco la ce corecție se referă versiunile indicate.

Potrivit The Register, nu există workaround-uri: breșa se închide doar prin actualizarea AsyncOS. Cisco recomandă celor care folosesc versiuni anterioare lui 16.5 să migreze la 16.5.0-780.

Indicatori de compromitere

Cisco nu a descris atacurile, dar, potrivit BleepingComputer, a publicat mesajele de jurnal pe care gateway-ul le afișează după o verificare de securitate, cu acțiunea de urmat:

• System Security: Suspected compromise indicator was found. Contact TAC for further recommendations.: compromitere detectată, urmează recomandările din aviz;
• System Security: Security scan did not complete. Contact TAC for further recommendations.: verificare nefinalizată, contactează suportul tehnic Cisco (TAC);
• System Security: No compromise indicator was found.: nicio compromitere detectată, instalează versiunea corectată dacă este cazul.

Cisco avertizează și că un atacator care execută comenzi ca root poate șterge urmele exploatării de pe appliance. De aceea cere corelarea jurnalelor firewall-urilor și ale rețelei, în căutarea activităților suspecte, cum ar fi descărcări și încărcări către și dinspre adrese IP externe sau suspecte. În termeni MITRE ATT&CK, pe lângă exploatarea inițială (T1190, Exploit Public-Facing Application), ștergerea urmelor ar intra în T1070 (Indicator Removal): sursele o prezintă ca posibilitate, nu ca fapt observat.

Instanțe cloud și clienți contactați

Potrivit BleepingComputer, Cisco a aplicat deja măsuri de atenuare pe instanțele cloud și i-a contactat pe clienții Cisco Secure Email Cloud la care a găsit dovezi ale unei posibile compromiteri. Le recomandă să readucă dispozitivul la o configurație sigură reînnoind credențialele și materialul criptografic instalat pe appliance și să limiteze accesul la gateway cu controale robuste.

Un purtător de cuvânt Cisco a declarat pentru The Register că vulnerabilitatea afectează „un număr limitat de clienți”, fără să precizeze câte appliance-uri au fost compromise sau ce au făcut atacatorii după acces. Cisco a aflat de exploatarea activă în octombrie 2026.

Expunere și context

BleepingComputer citează datele Shadowserver: aproape 300 de instanțe Cisco Secure Email Gateway expuse pe Internet, fără să indice câte sunt honeypot-uri sau sunt deja actualizate.

Este al doilea zero-day SEG în două luni: la jumătatea lui septembrie, Cisco semnalase exploatarea CVE-2026-76461, în analiza emailurilor din AsyncOS, care duce tot la executarea de comenzi ca root. Anterior, CVE-2025-20393 din AsyncOS a fost exploatată împotriva appliance-urilor SEG și Secure Email and Web Manager: potrivit BleepingComputer din noiembrie 2025, cu corecție în ianuarie; potrivit The Register, atacatorii au folosit-o pentru a instala mecanisme de persistență.

Pentru companiile europene și italiene repetarea contează: gateway-ul de email este expus prin definiție și a fost de mai multe ori punctul de intrare. Pentru entitățile NIS2 este un sistem de tratat ca critic în gestionarea vulnerabilităților, cu verificări de compromitere documentate după fiecare actualizare.

Ce să faci acum

1. Verifică cele două condiții pe fiecare gateway: contentscannerstatus pentru Content Scanner Tools și caseta „Enable File Reputation” în politicile de intrare și de ieșire.
2. Actualizează AsyncOS la 15.5.5-014 sau 16.5.0-780 (de la versiunile anterioare lui 16.5, la 16.5.0-780). Nu există workaround-uri.
3. Verifică mesajele System Security și, dacă indică o compromitere suspectată sau o verificare nefinalizată, contactează TAC.
4. Corelează jurnalele firewall-urilor și ale rețelei, pe care atacatorul nu le poate șterge de pe gateway: transferuri către și dinspre IP-uri externe sau suspecte.
5. Dacă există o compromitere sau Cisco te-a contactat: reînnoiește credențialele, cheile și certificatele instalate pe appliance și limitează accesul la administrare.
6. Pentru Secure Email and Web Manager, verifică în avizul Cisco versiunile de instalat.

Cum ajută ARXDOME

ARX Sentry colectează jurnalele firewall-urilor într-un colector central, în afara gateway-ului: conexiunile către și dinspre appliance rămân disponibile chiar dacă urmele locale sunt șterse. ARX Horizon îmbogățește adresele IP cu liste de amenințări, iar ARX Expose semnalează serviciile de email expuse pe Internet și vulnerabilitățile lor cunoscute.

Ultima actualizare: 15 octombrie 2026