Cisco випустила оновлення безпеки для нової zero‑day у Secure Email Gateway (SEG), що дозволяє віддаленим анонімним зловмисникам виконувати команди з правами root. У компанії підтвердили активну експлуатацію уразливості CVE-2026-76519 у жовтні 2026 року.
Що сталося
Помилка походить від відносного обходу шляхів у модулі Advanced Malware Protection (AMP) через некоректну обробку вкладень. Достатньо надіслати лист із навмисно сформованою вкладкою на непатчений пристрій, щоб записувати довільні файли та виконувати команди на базовій ОС із привілеями root, за даними компанії.
Кого зачіпає і як перевірити
CVE-2026-76519 стосується інсталяцій SEG, де сервіс File Reputation увімкнено й прив’язано до поштової політики, а версія Content Scanner Tools старіша за 25.3.0.5525. Адмінам слід перевірити версію за допомогою команди CLI contentscannerstatus і в інтерфейсі керування впевнитися, чи увімкнено «Enable File Reputation» у розділах Mail Policies (Incoming/Outgoing) → Advanced Malware Protection.
Ознаки компрометації та поради Cisco
Компанія надала індикатори компрометації (IOC) і закликає додатково звірити журнали міжмережевих екранів і мережеві логи на предмет підозрілих завантажень/вивантажень, оскільки після отримання прав root зловмисники можуть видаляти сліди атак. Для виявлених ознак зламу Cisco рекомендує діяти за інструкціями з бюлетеня та звертатися до TAC; якщо індикаторів нема — все одно оновитися до виправленої версії.
За словами Cisco, на хмарних інстансах вже розгорнуті пом’якшення, а власників Cisco Secure Email Cloud, у яких виявлено можливий компроміс, проінформовано. Компанія радить відновити безпеку пристрою, зокрема перевидати облікові дані та криптографічні матеріали, а також обмежити доступ до аплайнса й увімкнути суворі механізми контролю доступу.
Контекст: низка критичних дір у SEG
Інтернет‑спостережна ініціатива Shadowserver відстежує майже 300 екземплярів Cisco Secure Email Gateway, відкритих в інтернеті (невідомо, скільки з них — honeypot’и чи вже захищені).
У липні 2024 Cisco закрила критичну уразливість SEG (CVE-2024-20401), що дозволяла додавати користувачів із правами root або виводити аплайнси з ладу через шкідливі вкладення. У січні компанія виправила максимально критичну помилку в Cisco AsyncOS (CVE-2025-20393), яку експлуатували проти SEG та Secure Email and Web Manager з листопада 2025. Минулого місяця Cisco також попередила про ще одну активно експлуатовану zero‑day у SEG (CVE-2026-76461) в механізмах парсингу AsyncOS, що дає виконання команд із правами root.