Cisco подтвердила, что злоумышленники эксплуатируют критическую уязвимость в Cisco Secure Email Gateway. Дыра позволяет отправителю без учётной записи записывать файлы в операционную систему шлюза, а затем выполнять команды с правами root. Уязвимость получила идентификатор CVE-2026-76519 и оценку 9.8 по шкале CVSS.
Шлюз фильтрует корпоративную почту на спам, вредоносные вложения и другие угрозы. Атака начинается с письма со специально сформированным вложением: оно проходит через шлюз, и при удачном исходе атакующий получает возможность выполнить команды от root. Уязвимы только те устройства, где одновременно включена служба File Reputation и установлен пакет Content Scanner Tools старше версии 25.3.0.5525.
Кто именно в зоне риска
Оба условия должны выполняться одновременно. Служба File Reputation входит в состав Advanced Malware Protection (AMP), отвечающей за работу с вложениями; она должна быть включена и назначена на почтовую политику. Версия Content Scanner Tools при этом должна быть ниже 25.3.0.5525.
Под уязвимость подпадают физические и виртуальные шлюзы на уязвимых выпусках AsyncOS. Secure Email and Web Manager и Secure Web Appliance не затронуты.
Проверить первое условие можно в интерфейсе: Mail Policies > Incoming Mail Policies > Advanced Malware Protection либо по тому же пути в Outgoing Mail Policies. Нужно выбрать почтовую политику и посмотреть на флажок Enable File Reputation. Второе условие проверяется командой contentscannerstatus в CLI — она показывает версию пакета и дату последнего обновления.
Как закрыть уязвимость
Самый быстрый путь — обновление сканера. Если автоматические обновления Content Scanner Tools включены, после установки обновления делать ничего не нужно, но стоит убедиться командой contentscannerstatus, что версия стала 25.3.0.5525 или выше, а не полагаться на то, что обновление пришло само.
Там, где автоматические обновления отключены, следует выполнить contentscannerupdate в CLI либо включить автообновление в разделе Security Services > Service Updates.
Полное исправление в AsyncOS содержится в первых фиксированных сборках:
- 15.5: 15.5.5-014;
- 16.0: фиксированной сборки нет, нужно перейти на исправленный выпуск;
- 16.5: 16.5.0-780;
- Content Scanner Tools для всех лицензированных и поддерживаемых выпусков AsyncOS: 25.3.0.5525 или новее.
Cisco рекомендует всем шлюзам версии ниже 16.5 перейти на 16.5.0-780. Шлюз на 16.0.4-302 — сборке, закрывшей сентябрьскую уязвимость SQL-инъекции, — от этой дыры не защищён, а в рекомендациях не указано, какие выпуски считаются лицензированными и поддерживаемыми для обновления сканера. Для шлюза, который остаётся на 16.0, единственное подтверждение — версия сканера, показанная contentscannerstatus.
Обходных путей нет. Для виртуального устройства с признаками компрометации Cisco советует пересобрать его с новыми учётными данными и предупреждает: обновление скомпрометированного экземпляра уничтожает криминалистические данные и журналы.
Как проверить, не взломали ли шлюз
Проверка попытки эксплуатации выполняется одной командой на устройстве: grep "System Security" system_logs. Она возвращает одно из трёх сообщений:
System Security: Suspected compromise indicator was found. Contact TAC for further recommendations.— обнаружен подозрительный признак компрометации, обратитесь в TAC;Compromise detected. Follow the recovery steps below.— компрометация подтверждена, переходите к шагам восстановления;System Security: Security scan did not complete. Contact TAC for further recommendations.— проверка не завершилась, обратитесь в TAC;System Security: No compromise indicator was found.— признаков компрометации нет; если устройство на уязвимом выпуске, обновите его.
Команду нужно выполнить на каждом узле кластера. Чистый результат не доказывает безопасность: атакующий с правами root мог удалить или скрыть следы. Поэтому дополнительно проверьте журналы межсетевого экрана и сети за пределами устройства — неожиданные выгрузки на внешние IP-адреса и загрузки с вредоносных. Что именно ищет сканер, в рекомендациях не сказано.
Если устройство скомпрометировано
Для физического устройства Cisco просит связаться с TAC и включить удалённый доступ, чтобы её инженеры могли провести расследование. Для виртуального порядок такой:
- Сначала сохраните криминалистические данные — обновление скомпрометированного экземпляра уничтожает журналы и доказательства.
- Разверните новую виртуальную машину на исправленном выпуске.
- Пересоберите конфигурацию, не импортируя прежний файл конфигурации.
- Обновите учётные данные и криптографический материал на устройстве, затем продолжайте следить за необычным поведением.
Узлы кластера аутентифицируют друг друга парами SSH-ключей. Приватные ключи скомпрометированного узла могут дать атакующему путь к остальным, поэтому Cisco рекомендует восстановить все узлы кластера, в котором есть хотя бы одно скомпрометированное устройство. Клиентам Secure Email Cloud, с которыми связались, предлагается по возможности обновить учётные данные и криптографический материал.
Вторая атака на шлюзы за месяц
Это уже вторая уязвимость Cisco Secure Email Gateway, эксплуатацию которой компания подтвердила за месяц. 14 сентября она раскрыла CVE-2026-76461 — SQL-инъекцию в разборе почты, позволявшую неаутентифицированному отправителю выполнять команды от root через специально составленное письмо. Та дыра затрагивала любую конфигурацию и в тот же день была добавлена в каталог Known Exploited Vulnerabilities агентства CISA. Две уязвимости находятся в разных частях ПО и проверяются по разным журналам; Cisco не связывает эти атаки между собой.
В тот же день Cisco выпустила hardening-релиз для шлюза и для Secure Email and Web Manager, где внутренне найденные ошибки были сгруппированы в пять зонтичных CVE по классам слабостей: CVE-2026-76440, CVE-2026-76441, CVE-2026-20353 и CVE-2026-76443 с оценкой 9.8 каждая и CVE-2026-76442 с оценкой 7.5. Каждая оценка — высшая среди ошибок своего класса, а в рекомендациях фигурировали сборки 15.5.5-014 и 16.5.0-780.
Cisco обновила эту рекомендацию в среду: теперь в ней сказано, что «две из них эксплуатируются активно» — уязвимость записи файлов из класса обхода пути и сентябрьская SQL-инъекция из класса некорректной нейтрализации. Об атаках на остальные ошибки релиза компания не знает.
Согласно политике раскрытия, изложенной Cisco в июне, ошибки, исправленные в hardening-релизах, получают сгруппированные CVE, а отдельный идентификатор уязвимость получает, в частности, когда известно о её эксплуатации. Уязвимость записи файлов была исправлена в сентябре внутри группы обхода пути и получила отдельную рекомендацию в среду.
Это также третья уязвимость root-уровня в этих устройствах, эксплуатацию которой Cisco подтвердила с декабря. Тогда связанная с Китаем группа, которую Cisco Talos отслеживает как UAT-9686, использовала zero-day в функции карантина спама — CVE-2025-20393, исправленную Cisco в январе.
Частые вопросы
Кого касается эта уязвимость?
Владельцев физических и виртуальных Cisco Secure Email Gateway на уязвимых выпусках AsyncOS, где включена служба File Reputation и установлен Content Scanner Tools старее 25.3.0.5525. Secure Email and Web Manager и Secure Web Appliance не затронуты.
Как проверить версию сканера?
Выполните в CLI команду contentscannerstatus — она покажет версию пакета Content Scanner Tools и дату последнего обновления. Уязвимы версии ниже 25.3.0.5525.
Как проверить, включена ли File Reputation?
Откройте Mail Policies > Incoming Mail Policies > Advanced Malware Protection или тот же путь в Outgoing Mail Policies, выберите почтовую политику и посмотрите флажок Enable File Reputation.
Обязательно ли обновлять AsyncOS?
Нет, если достаточно обновить сканер. Апдейт Content Scanner Tools до 25.3.0.5525 или новее устанавливается без обновления ПО и перезагрузки. Но если автоматические обновления отключены, придётся запустить contentscannerupdate вручную.
Есть ли обходной путь, если обновиться нельзя?
Нет. Cisco не предлагает обходных мер — единственный способ закрыть уязвимость — установить исправленную версию сканера или AsyncOS.
Как узнать, пытались ли эксплуатировать уязвимость?
Выполните grep "System Security" system_logs на каждом узле кластера. Команда вернёт один из четырёх вариантов: признак компрометации найден, компрометация подтверждена, проверка не завершилась или признаков нет.
Достаточно ли чистого результата проверки?
Нет. Атакующий с правами root мог удалить или скрыть следы, поэтому Cisco советует дополнительно просмотреть журналы межсетевого экрана и сети за пределами устройства — на предмет неожиданных выгрузок на внешние адреса и загрузок с вредоносных.
Что делать с виртуальным шлюзом при компрометации?
Сохранить криминалистические данные, развернуть новую ВМ на исправленном выпуске, пересобрать конфигурацию без импорта прежней, обновить учётные данные и криптографический материал. Обновлять скомпрометированный экземпляр нельзя — это уничтожит журналы и доказательства.
Нужно ли пересобирать весь кластер?
Да, если хотя бы один узел скомпрометирован. Узлы аутентифицируются парами SSH-ключей, и приватный ключ взломанного узла может открыть доступ к остальным.
Что делать клиентам Secure Email Cloud?
Cisco уже развернула исправленный сканер в облачном сервисе, поэтому действий для получения исправления не требуется. Тем, с кем связалась компания, предлагается по возможности обновить учётные данные и криптографический материал.
Источник: thehackernews.com