Cisco CVE-2026-76519: vulnérabilité critique dans Secure Email Gateway permet l'exécution racine

Cisco a signalé une vulnérabilité critique dans son application Secure Email Gateway qui permet à un expéditeur non authentifié d'écrire des fichiers dans le système d'exploitation du périphérique et, si la chaîne d'attaque relie l'opération, exécutez des commandes avec des privilèges root. L'échec est listé comme CVE-2026-76519 avec un score CVSS de 9,8, et la correction clé a été distribuée en septembre dans le bâtiment d'AsyncOS et comme une mise à jour du paquet Content Scanner Tools.

Faits confirmés : Cisco a publié un avis de sécurité sur la décision, a attribué le CVE susmentionné et a affirmé que la vulnérabilité a été trouvée lors de l'analyse interne et qu'ils ont commencé à observer des tentatives d'exploitation en octobre. La correction est disponible dans AsyncOS 15.5.5-014 et 16.5.0-780 et en tant que mise à jour du composant Content Scanner Tools (version 25.3.0.5525 ou ultérieure). Cisco a contacté des clients de son service Secure Email Cloud géré dont les appareils présentaient des « indicateurs d'engagement possible » et y déployaient le scanner corrigé. Les détails techniques exacts du contrôle interne utilisé par Cisco n'ont pas été entièrement publiés.

Techniquement, la vulnérabilité appartient à la classe de chemin traversant / écriture de fichier au sein du sous-système qui analyse les pièces jointes - en particulier la fonction de réputation de fichier, partie de Advanced Malware Protection (AMP) qui traite les pièces jointes -. Le mécanisme décrit par Cisco est l'envoi d'un courriel avec une pièce jointe construite pour exploiter le moteur de contenu de passerelle; si un fichier est écrit dans un emplacement système et que la prochaine étape de l'explosion le permet, l'attaquant peut obtenir l'exécution de la commande avec des privilèges root. Important : l'opération nécessite deux conditions simultanées : que le service de réputation de fichier soit activé et assigné à une politique de courrier, et que la version Content Scanner Tools soit antérieure à 25.3.0.5525.

Qui est touché et atteint : les applications physiques et virtuelles de Secure Email Gateway qui répondent aux deux conditions mentionnées et qui exécutent des versions d'AsyncOS sans la compilation corrigée sont en danger. Secure Email et Web Manager et Secure Web Application ne sont pas affectés. Cisco n'a pas révélé combien de dispositifs ont été attaqués, si les attaquants ont obtenu des privilèges de racine dans un ou l'identité de l'attaquant; ces points restent incertains. Il n'y a pas non plus de liste publique de toutes les versions d'AyncOS qui sont qualifiées de « licences et prises en charge » pour recevoir uniquement la mise à jour du scanner.

Conséquences réelles : une application de courrier racine compromise permet à l'attaquant de contrôler le traitement du courrier entrant / sortant, de manipuler les quarantaines, d'exfiltrer les courriels, d'insérer des portes arrière et d'utiliser des clés d'application privées (par exemple SSH) pour se déplacer latéralement dans des grappes ou d'autres machines d'administration. Cisco souligne que, dans les environnements de regroupement, les clés privées d'un membre engagé pourraient permettre l'accès à d'autres membres, de sorte que la sécurité de l'ensemble est menacée si elle n'est pas appliquée.

Contrôles et actions immédiates à effectuer par l'administrateur (confirmé par l'avis): 1) Vérifiez si la réputation de fichier est active dans vos politiques : sur l'interface web aller à Politiques de courrier > Politiques de courrier entrant > Protection avancée des logiciels malveillants (ou le même itinéraire en cours) et cochez la case Activer la réputation de fichier dans chaque politique pertinente. 2) Vérifiez la version des outils de numérisation de contenu : dans le CLI de l'application exécuter contentscannerstatus et confirmer que la version est 25.3.0.5525 ou plus.

Si la version est ci-dessus ou si la boîte de réputation de fichier est activée, appliquez la correction dès que possible. Les voies d'atténuation préférées sont les suivantes : a) Mise à jour du scanner de contenu(ne nécessite pas de redémarrage ou de mise à jour de tous les AsyncOS) : si des mises à jour automatiques sont activées, confirmez avec contentscannerstatus que la nouvelle version est installée ; ne présumez pas que la mise à jour est survenue jusqu'à ce qu'elle soit vérifiée. Si les mises à jour automatiques sont désactivées, lancez contentscannerupdate sur le CLI ou activez les mises à jour sur Security Services > Service Updates. b) Mettre à jour AsyncOS dans une compilation corrigée Dans la mesure du possible: Liste Cisco 15.5.5-014 et 165.0-780 comme premiers bâtiments corrigés; pour les versions précédentes, Cisco recommande de migrer à 165.0-780. Pour les passerelles qui par politique doivent rester dans la branche 16.0, la seule vérification fiable est lecannerstatus de contenu pour confirmer la version du scanner.

Étapes à suivre si vous soupçonnez un engagement (procédure publiée par Cisco): pour les applications virtuelles d'abord préserver toutes les preuves médico-légales; ne mettez pas à jour le logiciel d'application compromis parce qu'une mise à jour détruit des documents utiles pour l'analyse. Au lieu de cela, déployez une nouvelle machine virtuelle avec une version corrigée, reconstruisez la configuration manuellement indépendamment des fichiers de configuration précédents, et renouveler toutes les identifiants et le matériel cryptographique. Dans les applications physiques Cisco demande de contacter le Centre d'assistance technique (TAC) et de permettre l'accès à distance pour vos recherches. Pour les clusters, s'il y a au moins un membre engagé, Cisco recommande de restaurer tous les membres du cluster pour supprimer les clés privées qui peuvent être compromises.

Commande de vérification publiée par Cisco: grep "System Security" system _ logs. Cette vérification interne renvoie un des trois messages qui indiquent un soupçon d'engagement, une indication que la vérification n'a pas été effectuée correctement ou qu'aucun indicateur n'a été détecté. Cisco précise qu'un résultat propre ne garantit aucun engagement, car un attaquant avec racine pourrait effacer ou adultère des preuves; par conséquent, il est également nécessaire d'examiner les enregistrements de pare-feu et de réseau pour les transferts anormaux vers / depuis IP externe.

Recommandations pratiques complémentaires (actions défensives à court et moyen terme): 1) Confirmez immédiatement la version du scanner et la configuration de la réputation de fichier. 2) Appliquer la mise à jour du scanner de contenu ou mettre à jour AsyncOS selon la politique de votre organisation. 3) Si vous détectez une activité suspecte, conservez les journaux, isolez l'application et procédez à la reconstruction comme indiqué par Cisco. 4) Rotation des identifiants, renouvellement des certificats et des clés et vérification des clés SSH du groupe. 5) Segmenter la gestion de la passerelle et restreindre les sorties réseau non nécessaires de l'application pour limiter la capacité d'exfiltration.

Contexte majeur et précédent : c'est la deuxième vulnérabilité de Secure Email Gateway que Cisco a confirmée comme activement exploitée en un peu plus d'un mois ; en septembre il a publié un autre type de vulnérabilité critique d'injection SQL (CVE-2026-76461) qui permet également l'exécution en tant que racine. Cisco a regroupé plusieurs erreurs internes dans une version durcissante et, en vertu de sa politique de divulgation, attribue des CVE individuels lorsqu'un défaut est confirmé pour être exploité dans la nature. Pour un cadre de risque plus large, voir la liste des vulnérabilités exploitées connues de la US Infrastructure and Cybersecurity Agency. États-Unis. https: / / www.cisa.gov / knowledge-exploited-vulnerabilities / current-list et le dossier public du CVE sur la base NVD pour les détails techniques et temporaires: https: / / nvd.nist.gov / vuln / detail / CVE-2026-76519. Vous pouvez également consulter la page produit de Cisco Secure Email Gateway pour des liens vers des annonces et des guides de mise à jour: https: / / www.cisco.com / c / en / nous / produits / sécurité / e-mail-sécurité / index.html.

Information encore incertaine ou non divulguée par Cisco : le nombre de dispositifs commis, si un attaquant a effectivement obtenu des privilèges de racine dans les déploiements de production, l'identité ou la motivation de l'acteur (s) et la forme exacte de la vérification médico-légale que Cisco utilise. Compte tenu de ce degré d'incertitude, la réponse prudente est de prendre un risque réel dans toute passerelle vulnérable et d'agir avec la rapidité et la rigueur que les privilèges de niveau racine exigent sur un périphérique.

Si vous gérez une infrastructure qui dépend de Cisco Secure Email Gateway, traitez cette note comme une alerte hautement prioritaire : vérifiez la configuration et les versions maintenant, appliquez la correction et suivez les instructions de conservation et de récupération médico-légales lorsqu'il y a des signes d'intrusion. En cas de doutes opérationnels ou de signes d'engagement, contacter le TAC de Cisco pour la coordination technique.