Cisco alerta e adesivo vulnerabilidade crítica no Secure Email Gateway (CVE-2026-76461)

Cisco alertou sobre uma vulnerabilidade crítica em AsyncOS para o seu Secure Email Gateway (SEG) que já está sendo explorada em ambientes reais. Erro, identificado como CVE-2026-76461 e com uma pontuação CVSS de 9.8/10, permite que um atacante remoto e não autenticado envie um e-mail especialmente manipulado cujo processamento pode conduzir à execução de comandos arbitrários com privilégios de root no sistema operacional subjacente.

Segundo a notificação oficial, a raiz do problema é uma validação insuficiente na lógica que processa e parsea mensagens entrantes. A Cisco descreve que uma mensagem malicioso pode conter sentenças SQL exploráveis; a execução dessas sentenças pode resultar em execução de comandos ao nível do sistema. Feito confirmado: A Cisco publicou versões corrigidas e afirma que a exploração ativa foi detectada na natureza; além disso, a Agência de Cibersegurança e Infra-estruturas dos EUA (CISA) acrescentou o CVE-2026-76461 ao seu catálogo Known Exploited Vulnerabilities (KEV), impondo a obrigação de aplicar adesivos em agências federais antes de 17 de setembro de 2026. A ficha do CVE e a entrada do CISA podem ser consultadas nas seguintes ligações: NVD - CVE-2026-76461 e CISA KEV - CVE-2026-76461.

Tecnicamente, a Cisco descreve o vetor como a inserção de sentenças SQL dentro do fluxo de correio que não são corretamente neutralizadas antes da sua execução por componentes internos do SEG. Como indicador útil entregue pela Cisco, os registos de texto do serviço de correio (mail_logs) devem ser revistos à procura de padrões correspondentes. COPY. *TO PROGRAM, pois a presença dessa cadeia nos logs pode apontar tentativas de usar instruções SQL que invocam o sistema operacional. A empresa forneceu a pesquisa recomendada para inspeção:grep - i "COPY.*TO PROGRAM" [ruta_al_mail_logs](em equipamentos Cisco essa localização por omissão é o mail_logs).

Produtos em causa (confirmado): Cisco Secure Email Gateway, tanto em versões físicas como virtuais, independentemente da configuração do dispositivo. A Cisco indicou explicitamente que outros produtos como o Secure Email and Web Manager e o Secure Web Appliance não são afetados.

Soluções disponíveis (confirmado): A Cisco publicou adesivos/fixes nos seguintes ramos de AsyncOS: para a série 15.5 (corregido em 15.5.5-0141), 16.0 (corregido em 16.0.4-302) e 16.5 (corgido em 16.5.0-780). A nota oficial assinala que não existem soluções alternativas completas: a única medida eficaz é atualizar a uma versão corrigida.

A Cisco afirmou ter contactado diretamente clientes cujos dispositivos na nuvem mostraram atividade maliciosa, mas não divulgou o alcance numérico dos incidentes. Feito confirmado: A Cisco adverte que, se a exploração tiver sucesso, os atacantes obterão execução de comandos com privilégios root e podem remover ou alterar evidências dentro do dispositivo em causa. Por isso, a empresa recomenda rever também registros externos (logs de rede e firewall) que não possam ser manipulados desde o SEG comprometido para descobrir atividade anómala, subidas do dispositivo para IP externos ou downloads de endereços maliciosas.

Existem aspectos que permanecem publicamente incertos neste momento: a Cisco não publicou detalhes técnicos pormenorizados do exploit empregado, nem divulgou indicadores de compromisso (IoC) de rede completos nem o número total de dispositivos afetados. Também não foi confirmada a família ou identidade dos atores que estão explorando a falha.

De uma perspectiva técnica prática, a referência ao padrão "COPY ... TO PROGRAM" sugere um vetor no qual sentenças SQL com capacidade de invocar processos do sistema operacional são utilizadas como alavanca para escalar a execução de comandos. Estimativa razoável (não confirmada pela Cisco): Em alguns motores SQL, a instrução COPY TO PROGRAM permite direcionar dados da base de dados para a execução de um programa do sistema; se o componente do SEG processar diretamente entradas SQL sem saneamento, esse comportamento poderia ser a rota para executar comandos shell. Esta explicação é uma interpretação técnica dos indicadores que a Cisco confirmou, não uma declaração oficial sobre a arquitetura interna.

O que deveriam fazer os administradores e responsáveis pela segurança (passos concretos e priorizados):

1) Parchado imediatamente. Actualize qualquer Cisco Secure Email Gateway afectado a uma das versões corrigidas indicadas pela Cisco de forma prioritária. Se possível, faça a atualização fora de horário de produção com um plano de rollback.

2) Inspecção de logs locais. Executa a pesquisa fornecida pela Cisco em todos os mail_logs e em cada dispositivo do cluster: grep - i "COPY.*TO PROGRAM" mail_logs (ajuste da localização de acordo com a sua instalação). Qualquer coincidência deve ser considerada um possível compromisso.

3) Rever registros externos e indicadores de rede. Uma vez que um ator com root pode remover traços, cruzar os registros do SEG com logs de firewalls, proxys e sensores de rede para identificar conexões salientes inesperadas, transferências de arquivos ou acessos remotos iniciados a partir do SEG.

4) Contenção e recuperação se houver indícios de exploração. Se você encontrar provas de compromisso, isole o dispositivo da rede, preserve uma cópia forense dos logs externos e planifique uma reimagem completa a partir de meios de instalação confiáveis ou restauração a partir de backups conhecidos limpos. Não confie em apagar apenas processos ou arquivos: a escalada ao root costuma exigir uma reconstrução.

5) Rotação de credenciais e revisão de integridade. Mude chaves e credenciais associadas ao dispositivo em causa (API keys, senhas administrativas, certificados) e verifique a integridade das contas e dos sistemas adjacentes que poderiam ter sido acessados após uma intrusão.

6) Monitorização e detecção contínua. Adicione regras a SIEM/IDS para detectar padrões relacionados com a exploração (busquedas de cadeias de SQL suspeitas, tráfego para IPs não habituais) e coordene com o seu fornecedor/tac da Cisco para confirmar resultados e receber mitigações adicionais.

Para as organizações do sector público dos EUA e dos empreiteiros, lembre-se de que a inclusão no catálogo KEV implica uma obrigação regulamentar para aplicar atenuações nos prazos indicados pela CISA. Além disso, se precisar de referências públicas sobre a falha, consulte a entrada do CVE e a página de CISA acima mencionada; para detalhes do adesivo e passos de remediação final, use as comunicações oficiais da Cisco e seu suporte técnico.

Conclusão: esta é uma falha de alta gravidade e exploração ativa que afeta dispositivos que processam correio entrante e que, por sua natureza, pode levar a uma tomada completa do sistema. A única medida confiável conhecida é aplicar as versões corrigidas; entretanto, faça uma busca imediata nos logs, supervise comunicações salientes e prepare-se para procedimentos forenses e de reimagem se surgirem evidências de intrusão.