Cisco сообщила об эксплуатации критической уязвимости CVE-2026-76519 в Cisco Secure Email Gateway. Её оценка по CVSS — 9,8. Для атаки не нужна учётная запись: достаточно отправить через уязвимый шлюз письмо с специально подготовленным вложением. Если атака проходит, злоумышленник может записывать файлы в операционную систему устройства и выполнять команды с правами root.
Шлюз проверяет корпоративную почту на спам, вредоносные программы и другие угрозы. Cisco обнаружила уязвимость при внутреннем сканировании безопасности и узнала об атаках в октябре. Компания не сообщила, сколько устройств пострадало, кто стоит за атаками и получили ли злоумышленники root-доступ хотя бы на одном шлюзе.
Уязвимость есть только при одновременном выполнении двух условий: для почтовой политики включён File Reputation, отвечающий за проверку вложений в составе Advanced Malware Protection (AMP), а версия Content Scanner Tools ниже 25.3.0.5525. Под угрозой могут оказаться физические и виртуальные шлюзы с уязвимой версией AsyncOS. Secure Email and Web Manager и Secure Web Appliance к этой проблеме не относятся.
Проверить File Reputation можно в меню Mail Policies > Incoming Mail Policies > Advanced Malware Protection; тот же пункт есть в разделе исходящей почты — Outgoing Mail Policies. Выберите политику и найдите настройку Enable File Reputation. Версию сканера и время его последнего обновления показывает команда
Самый быстрый способ устранить уязвимость — обновить Content Scanner Tools до версии 25.3.0.5525 или новее. Обновление доступно для всех лицензированных и поддерживаемых выпусков AsyncOS; оно не требует обновления самой системы или перезапуска шлюза. Если автоматические обновления включены, достаточно убедиться с помощью
Исправления также входят в определённые сборки AsyncOS: для ветки 15.5 это 15.5.5-014, для 16.5 — 16.5.0-780. Cisco рекомендует шлюзам с версиями ниже 16.5 перейти на 16.5.0-780. Исправления поставляются с 14 сентября; в тот день эти сборки были опубликованы как часть выпуска для усиления безопасности, и Cisco подтвердила, что они закрывают и нынешнюю уязвимость. Для AsyncOS 16.0 исправленная сборка не указана: рекомендуется перейти на исправленный выпуск. Версия 16.0.4-302 не защищает от CVE-2026-76519, хотя в сентябре она устранила другую уязвимость — SQL-инъекцию. Если шлюз остаётся на 16.0, единственное указанное Cisco подтверждение защиты — версия Content Scanner Tools. Обходного решения нет.
Чтобы проверить признаки попытки эксплуатации, выполните команду
При компрометации физического шлюза следует обратиться в TAC и включить удалённый доступ, чтобы специалисты Cisco могли провести расследование. Для виртуального устройства сначала сохраните данные для анализа: обновление заражённого экземпляра уничтожит его журналы и другие свидетельства. Затем разверните новую виртуальную машину на исправленной версии, восстановите конфигурацию вручную, не импортируя прежний файл, смените учётные данные и криптографические материалы и продолжайте следить за необычной активностью. В кластере каждый узел подтверждает подлинность соседей с помощью пар SSH-ключей. Поэтому закрытый ключ с заражённого устройства может дать злоумышленнику путь к другим узлам, а Cisco рекомендует восстановить все участники кластера, если скомпрометирован хотя бы один.
Клиентов управляемого сервиса Secure Email Cloud Cisco уведомила, если на их устройствах были обнаружены «индикаторы возможной компрометации», и сообщила, что занимается восстановлением. Исправленный сканер компания уже установила на управляемые шлюзы, поэтому клиентам не нужно выполнять действия для получения этого обновления. У администраторов таких устройств может не быть доступа к командной строке, необходимого для проверки компрометации. Cisco просит клиентов, получивших уведомление, по возможности обновить учётные данные и криптографические материалы.
Это уже вторая за месяц уязвимость Secure Email Gateway, эксплуатацию которой Cisco подтвердила. 14 сентября компания раскрыла CVE-2026-76461 — SQL-инъекцию в обработке почты. Подготовленное письмо позволяло отправителю без аутентификации выполнять команды с правами root; уязвимость затрагивала все конфигурации и в тот же день попала в каталог известных эксплуатируемых уязвимостей CISA (KEV). CVE-2026-76461 и новая уязвимость записи файлов затрагивают разные части ПО и требуют разных проверок по журналам. Cisco не связывала эти атаки между собой.
Также 14 сентября Cisco выпустила обновление для усиления безопасности Secure Email Gateway и Secure Email and Web Manager. Найденные внутри компании ошибки объединили в пять групп по типу слабости: CVE-2026-76440, CVE-2026-76441 и CVE-2026-20353 получили оценку 9,8; CVE-2026-76443 — 9,8; CVE-2026-76442 — 7,5. Каждая оценка соответствует максимальному баллу среди ошибок своей группы. В опубликованных тогда сборках были 15.5.5-014 и 16.5.0-780. В среду Cisco обновила уведомление: «Известно, что две из них активно эксплуатируются». Уязвимость записи файлов относится к обходу путей, а сентябрьская SQL-инъекция — к недостаточной нейтрализации данных. Об атаках на остальные ошибки этого выпуска Cisco не сообщала.
Согласно политике раскрытия уязвимостей, опубликованной Cisco в июне, ошибки, закрытые обновлениями для усиления безопасности, объединяются под общими CVE. Среди причин присвоить отдельный идентификатор — подтверждённая эксплуатация. Уязвимость записи файлов исправили в сентябре в составе группы, связанной с обходом путей, а отдельное уведомление о ней выпустили в среду. Это уже третья уязвимость этих устройств с правами root, эксплуатацию которой Cisco подтвердила с декабря. Тогда связанная с Китаем группа UAT-9686, отслеживаемая Cisco Talos, использовала уязвимость нулевого дня CVE-2025-20393 в функции карантина спама. Cisco выпустила исправление в январе.
Изображение носит иллюстративный характер
Шлюз проверяет корпоративную почту на спам, вредоносные программы и другие угрозы. Cisco обнаружила уязвимость при внутреннем сканировании безопасности и узнала об атаках в октябре. Компания не сообщила, сколько устройств пострадало, кто стоит за атаками и получили ли злоумышленники root-доступ хотя бы на одном шлюзе.
Уязвимость есть только при одновременном выполнении двух условий: для почтовой политики включён File Reputation, отвечающий за проверку вложений в составе Advanced Malware Protection (AMP), а версия Content Scanner Tools ниже 25.3.0.5525. Под угрозой могут оказаться физические и виртуальные шлюзы с уязвимой версией AsyncOS. Secure Email and Web Manager и Secure Web Appliance к этой проблеме не относятся.
Проверить File Reputation можно в меню Mail Policies > Incoming Mail Policies > Advanced Malware Protection; тот же пункт есть в разделе исходящей почты — Outgoing Mail Policies. Выберите политику и найдите настройку Enable File Reputation. Версию сканера и время его последнего обновления показывает команда
contentscannerstatus. Самый быстрый способ устранить уязвимость — обновить Content Scanner Tools до версии 25.3.0.5525 или новее. Обновление доступно для всех лицензированных и поддерживаемых выпусков AsyncOS; оно не требует обновления самой системы или перезапуска шлюза. Если автоматические обновления включены, достаточно убедиться с помощью
contentscannerstatus, что новая версия установлена. При отключённых обновлениях запустите в командной строке contentscannerupdate либо включите автоматическое обновление в меню Security Services > Service Updates. Cisco не уточнила, какие именно выпуски AsyncOS считает лицензированными и поддерживаемыми для этого обновления. Исправления также входят в определённые сборки AsyncOS: для ветки 15.5 это 15.5.5-014, для 16.5 — 16.5.0-780. Cisco рекомендует шлюзам с версиями ниже 16.5 перейти на 16.5.0-780. Исправления поставляются с 14 сентября; в тот день эти сборки были опубликованы как часть выпуска для усиления безопасности, и Cisco подтвердила, что они закрывают и нынешнюю уязвимость. Для AsyncOS 16.0 исправленная сборка не указана: рекомендуется перейти на исправленный выпуск. Версия 16.0.4-302 не защищает от CVE-2026-76519, хотя в сентябре она устранила другую уязвимость — SQL-инъекцию. Если шлюз остаётся на 16.0, единственное указанное Cisco подтверждение защиты — версия Content Scanner Tools. Обходного решения нет.
Чтобы проверить признаки попытки эксплуатации, выполните команду
grep "System Security" system_logs. Сообщение System Security: Suspected compromise indicator was found. Contact TAC for further recommendations. означает, что обнаружен признак компрометации: обратитесь в центр технической поддержки Cisco, TAC. Если выводится System Security: Security scan did not complete. Contact TAC for further recommendations., проверка не завершилась, и также нужно связаться с TAC. Сообщение System Security: No compromise indicator was found. означает лишь, что эта проверка не обнаружила признаков; устройство всё равно следует обновить, если на нём стоит уязвимый выпуск. Команду нужно запускать на каждом узле кластера. Чистый результат не доказывает, что устройство не взломано: получив root-доступ, атакующий мог удалить или скрыть следы. Cisco также советует проверять внешние журналы межсетевого экрана и сети на неожиданные отправки данных на внешние IP-адреса и загрузки с вредоносных адресов. Компания не объяснила, какие именно признаки ищет сканирование. При компрометации физического шлюза следует обратиться в TAC и включить удалённый доступ, чтобы специалисты Cisco могли провести расследование. Для виртуального устройства сначала сохраните данные для анализа: обновление заражённого экземпляра уничтожит его журналы и другие свидетельства. Затем разверните новую виртуальную машину на исправленной версии, восстановите конфигурацию вручную, не импортируя прежний файл, смените учётные данные и криптографические материалы и продолжайте следить за необычной активностью. В кластере каждый узел подтверждает подлинность соседей с помощью пар SSH-ключей. Поэтому закрытый ключ с заражённого устройства может дать злоумышленнику путь к другим узлам, а Cisco рекомендует восстановить все участники кластера, если скомпрометирован хотя бы один.
Клиентов управляемого сервиса Secure Email Cloud Cisco уведомила, если на их устройствах были обнаружены «индикаторы возможной компрометации», и сообщила, что занимается восстановлением. Исправленный сканер компания уже установила на управляемые шлюзы, поэтому клиентам не нужно выполнять действия для получения этого обновления. У администраторов таких устройств может не быть доступа к командной строке, необходимого для проверки компрометации. Cisco просит клиентов, получивших уведомление, по возможности обновить учётные данные и криптографические материалы.
Это уже вторая за месяц уязвимость Secure Email Gateway, эксплуатацию которой Cisco подтвердила. 14 сентября компания раскрыла CVE-2026-76461 — SQL-инъекцию в обработке почты. Подготовленное письмо позволяло отправителю без аутентификации выполнять команды с правами root; уязвимость затрагивала все конфигурации и в тот же день попала в каталог известных эксплуатируемых уязвимостей CISA (KEV). CVE-2026-76461 и новая уязвимость записи файлов затрагивают разные части ПО и требуют разных проверок по журналам. Cisco не связывала эти атаки между собой.
Также 14 сентября Cisco выпустила обновление для усиления безопасности Secure Email Gateway и Secure Email and Web Manager. Найденные внутри компании ошибки объединили в пять групп по типу слабости: CVE-2026-76440, CVE-2026-76441 и CVE-2026-20353 получили оценку 9,8; CVE-2026-76443 — 9,8; CVE-2026-76442 — 7,5. Каждая оценка соответствует максимальному баллу среди ошибок своей группы. В опубликованных тогда сборках были 15.5.5-014 и 16.5.0-780. В среду Cisco обновила уведомление: «Известно, что две из них активно эксплуатируются». Уязвимость записи файлов относится к обходу путей, а сентябрьская SQL-инъекция — к недостаточной нейтрализации данных. Об атаках на остальные ошибки этого выпуска Cisco не сообщала.
Согласно политике раскрытия уязвимостей, опубликованной Cisco в июне, ошибки, закрытые обновлениями для усиления безопасности, объединяются под общими CVE. Среди причин присвоить отдельный идентификатор — подтверждённая эксплуатация. Уязвимость записи файлов исправили в сентябре в составе группы, связанной с обходом путей, а отдельное уведомление о ней выпустили в среду. Это уже третья уязвимость этих устройств с правами root, эксплуатацию которой Cisco подтвердила с декабря. Тогда связанная с Китаем группа UAT-9686, отслеживаемая Cisco Talos, использовала уязвимость нулевого дня CVE-2025-20393 в функции карантина спама. Cisco выпустила исправление в январе.
