Alerte et vulnérabilité critique de Cisco dans la passerelle de messagerie sécurisée (CVE-2026-76461)

Cisco a mis en garde contre une vulnérabilité critique d'AsyncOS pour sa passerelle de messagerie sécurisée (SEG) qui est déjà exploitée dans des environnements réels. L'échec, identifié comme CVE-2026-76461 et avec un score CVSS de 9.8 / 10, permet à un attaquant distant et non authentifié d'envoyer un email spécialement manipulé dont le traitement peut conduire à l'exécution de commandes arbitraires avec des privilèges root dans le système d'exploitation sous-jacent.

Selon la notification officielle, la racine du problème est une validation insuffisante dans la logique qui traite et analyse les messages entrants. Cisco décrit qu'un message malveillant peut contenir des phrases SQL exploitables; l'exécution de ces phrases pourrait entraîner l'exécution de commandes au niveau du système. Fait confirmé: Cisco a publié des versions corrigées et indique que l'exploitation active a été détectée dans la nature; en outre, la United States Cybersecurity and Infrastructure Agency (CISA) a ajouté le CVE-2026-76461 à son catalogue Les vulnérabilités exploitées connues (KEV), imposant l'obligation d'appliquer des correctifs dans les organismes fédéraux avant le 17 septembre 2026. L'onglet CVE et l'entrée CISA sont disponibles sur les liens suivants: NVD - CVE-2026-76461 et CISA KEV - CVE-2026-76461.

Techniquement, Cisco décrit le vecteur comme l'insertion de phrases SQL dans le flux de courrier qui ne sont pas correctement neutralisées avant l'exécution par les composants internes du SGE. En tant qu'indicateur utile donné par Cisco, les enregistrements texte du service de courrier (registres de courrier _) doivent être examinés pour les modèles qui correspondent * AU PROGRAMME, puisque la présence de cette chaîne dans les journaux peut indiquer des tentatives d'utiliser des instructions SQL qui invoquent le système d'exploitation. La société a fourni la recherche recommandée pour l'inspection:-i "COPIE. * AU PROGRAMME" [route _ vers _ courrier _ journaux](sur les équipes de Cisco, l'itinéraire par défaut est le courrier _ journaux).

Produits concernés (confirmés): Cisco Secure Email Gateway, en versions physiques et virtuelles, quelle que soit la configuration de l'appareil. Cisco a explicitement indiqué que d'autres produits comme Secure Email et Web Manager et Secure Web Application ne sont pas affectés.

Solutions disponibles (confirmées): Cisco a publié des correctifs dans les branches suivantes d'AsyncOS : pour la série 15,5 (corrigée en 15.5.5-0141), 16,0 (corrigée en 16.4.4-302) et 16,5 (corrigée en 16.5.5-780). La note officielle note qu'il n'existe pas de solutions de rechange complètes : la seule mesure efficace consiste à mettre à jour une version corrigée.

Cisco a affirmé avoir contacté directement des clients dont les dispositifs cloud montraient une activité malveillante, mais n'a pas divulgué la portée numérique des incidents. Fait confirmé: Cisco avertit que, si l'opération est réussie, les attaquants obtiendront l'exécution de la commande avec des privilèges root et pourraient supprimer ou modifier les preuves dans le périphérique affecté. Pour cette raison, l'entreprise recommande également d'examiner les dossiers externes (les métiers de réseau et de pare-feu) qui ne peuvent être manipulés à partir du SEG compromis pour découvrir une activité anormale, téléchargés de l'appareil à l'IP externe ou téléchargés à partir de directions malveillantes.

Il y a des aspects qui demeurent incertains pour le moment : Cisco n'a pas publié de détails techniques détaillés sur l'explosion utilisée, ni divulgué des indicateurs complets d'engagement du réseau (IoC) ou le nombre total d'appareils touchés. La famille ou l'identité des acteurs qui exploitent l'échec n'a pas non plus été confirmée.

D'un point de vue technique pratique, la référence au modèle "COPY... TO PROGRAMME" suggère un vecteur dans lequel les phrases SQL avec la capacité d'invoquer les processus du système d'exploitation sont utilisées comme levier d'échelle pour commander l'exécution. Estimation raisonnable (non confirmée par Cisco) : Dans certains moteurs SQL, l'instruction COPY TO PROGRAMME vous permet de diriger les données de base vers l'exécution d'un programme système ; si le composant SEG traite les entrées SQL directement sans assainissement, ce comportement pourrait être le chemin vers l'exécution des commandes shell. Cette explication est une interprétation technique des indicateurs que Cisco a confirmés, et non une déclaration officielle sur l'architecture interne.

Ce que les gestionnaires et les responsables de la sécurité devraient faire (mesures concrètes et prioritaires) :

1) Instantané. Mettre à jour toute passerelle de messagerie sécurisée de Cisco affectée à l'une des versions corrigées indiquées par Cisco en priorité. Si possible, faire la mise à jour des heures de production avec un plan de recul.

2) Inspection de la connexion locale. Exécutez la recherche fournie par Cisco sur tous les journaux de courrier _ et sur chaque périphérique de cluster: grep -i "COPY. * TO PROGRAMME" mail _ logs (ajuster l'itinéraire selon votre installation). Toute coïncidence doit être considérée comme un compromis possible.

3) Examiner les dossiers externes et les indicateurs du réseau. Parce qu'un acteur root peut effacer des traces, croiser les enregistrements SEG avec des pare-feu, des proxys et des capteurs réseau pour identifier des connexions sortantes inattendues, des transferts de fichiers ou des accès à distance initiés à partir du SEG.

(4) Containment et rétablissement s'il existe des preuves d'exploitation. Si vous trouvez des preuves d'engagement, isolez le dispositif réseau, conservez une copie médico-légale du journal externe et planifiez une reimage complète à partir de moyens d'installation fiables ou de restauration à partir de sauvegardes propres connues. Ne faites pas confiance pour supprimer uniquement les processus ou les fichiers : l'escalade en racine nécessite habituellement une reconstruction.

5) Rotation des pouvoirs et examen de l'intégrité. Modifier les clés et les identifiants associés à l'appareil touché (clés API, mots de passe administratifs, certificats) et vérifier l'intégrité des comptes et systèmes adjacents qui ont pu être accessibles après une intrusion.

(6) Surveillance et détection continue. Ajoutez des règles à SIEM / IDS pour détecter les modèles liés à l'exploitation (recherche de chaînes SQL suspectes, trafic vers des IP inhabituels) et coordonnez avec votre fournisseur / tac Cisco pour confirmer les résultats et recevoir des atténuations supplémentaires.

Pour les organisations et entrepreneurs du secteur public américain, rappelez-vous que l'inclusion dans le catalogue KEV implique une obligation réglementaire d'appliquer des mesures d'atténuation dans les délais indiqués par la CISA. De plus, si vous avez besoin de références publiques au sujet de l'échec, consultez l'entrée de la CVE et de la page CISA mentionnée ci-dessus; pour les détails de patch et les étapes de médiation finales, utilisez les communications officielles et le soutien technique de Cisco.

Conclusion: Il s'agit d'une panne d'exploitation très grave et active qui affecte les appareils qui traitent le courrier entrant et qui, de par sa nature, peut mener à un système complet. La seule mesure fiable connue est d'appliquer les versions corrigées; dans l'intervalle, faire une recherche immédiate sur les journaux, surveiller les communications sortantes et se préparer aux procédures médico-légales et de reimage si des preuves d'intrusion apparaissent.