Cisco CVE-2026-76519: vulnerabilidade crítica em Secure Email Gateway permite execução de root

A Cisco tem notificado uma vulnerabilidade crítica no seu appliance Secure Email Gateway que permite a um remetente não autenticado escrever arquivos no sistema operacional do dispositivo e, se a cadeia de ataque acorrente a exploração, executar comandos com privilégios root. A falha está catalogada como CVE-2026-76519 com uma pontuação CVSS de 9.8, e a correção chave foi distribuída em setembro dentro de builds de AsyncOS e como uma atualização do pacote Content Scanner Tools.

Atos confirmados: a Cisco publicou um aviso de segurança sobre a falha, designou o CVE mencionado e afirma que a vulnerabilidade foi encontrada durante análise interna e que começaram a observar tentativas de exploração em outubro. A correção está disponível em AsyncOS 15.5.5-014 e 16.5.0-780 e como atualização do componente Content Scanner Tools (versão 25.3.0.5525 ou posterior). A Cisco entrou em contato com clientes do seu serviço gerenciado Secure Email Cloud cujos dispositivos mostraram "indicadores de possível compromisso" e instalou o scanner corrigido lá. Os detalhes técnicos exatos do cheque interno que a Cisco usa não foram publicados na íntegra.

Tecnicamente, a vulnerabilidade pertence à classe de path traversal / file- write dentro do subsistema que analisa anexos — especificamente a função File Reputation, parte de Advanced Malware Protection (AMP) que processa arquivos anexos. O mecanismo descrito pela Cisco é o envio de um e- mail com um anexo construído para explorar o motor de conteúdo do gateway; se um ficheiro for escrito numa localização do sistema e o próximo passo do exploit permite que o atacante consiga executar comandos com privilégios root. Importante: a exploração requer duas condições simultâneas: que o serviço File Reputation esteja habilitado e atribuído a uma política de correio, e que a versão do Content Scanner Tools seja anterior a 25.3.0.5525.

Quem está afetado e alcance: estão em risco os appliances físicos e virtuais do Secure Email Gateway que satisfaçam as duas condições mencionadas e que corram versões de AsyncOS sem o build corrigido. Não estão afetados Secure Email and Web Manager nem Secure Web Appliance. A Cisco não divulgou quantos dispositivos foram atacados, se os atacantes conseguiram privilégios root em algum ou a identidade do ator atacante; esses pontos ainda são incertos. Também não foi publicada uma lista pública de todas as versões de AsyncOS que qualificam como "licenças e suportadas" para receber apenas a atualização do scanner.

Conseqüências reais: uma appliance de e-mail com root comprometido permite ao atacante controlar o processamento de e-mail entrante/saliente, manipular quarantinas, exfiltrar e-mails, inserir portas traseiras e usar chaves privadas do appliance (por exemplo, SSH) para se mover lateralmente dentro de clusters ou para outras máquinas de administração. A Cisco destaca que em ambientes clusterizados as chaves privadas de um membro comprometido poderiam permitir acesso a outros membros, pelo que a segurança do conjunto fica em risco se não estiver a funcionar.

Verificações e acções imediatas a realizar pelo administrador (confirmadas pelo aviso): 1) Verifique se o File Reputation está ativo em suas políticas: na interface web, vá a Mail Policies > Incoming Mail Policies > Advanced Malware Protection (ou a mesma rota sob Outgoing) e verifique a opção Enable File Reputation em cada política relevante. 2) Verifique a versão do Content Scanner Tools: na CLI do appliance execute contentscannerstatus e confirme que a versão é 25.3.0.5525 ou superior.

Se a versão for anterior ou a opção do File Reputation estiver activa, aplique a correcção o mais rapidamente possível. As rotas de mitigação preferenciais são: a) Instalar a actualização do Content Scanner Tools(não requer reinício nem atualização todo AsyncOS): se as actualizações automáticas estiverem habilitadas, confirme com contentscannerstatus que a nova versão está instalada; não assuma que a atualização chegou até verificar. Se as atualizações automáticas estiverem desactivadas, execute contentscannerupdate na CLI ou active as atualizações em Security Services > Service Updates. b) Actualizar AsyncOS a uma build corrigida Quando possível: a Cisco lista 15.5.5-014 e 16.5.0-780 como primeiro builds corrigidos; para releases anteriores, a Cisco recomenda migrar para 16.5.0-780. Para gateways que por política devam permanecer no ramo 16.0, a única verificação confiável é o contentscannerstatus para confirmar a versão do scanner.

Passos a seguir se suspeitar de compromisso (procedimento publicado pela Cisco): para appliances virtuais preserve primeiro toda a evidência forense; não atualize o software do appliance comprometido porque uma atualização destrói registros úteis para a análise. Em vez disso, implantar uma nova máquina virtual com uma versão corrigida, reconstrua a configuração manualmente sem importar arquivos de configuração anteriores, e renueve todas as credenciais e material criptográfico. Em appliances físicas Cisco solicita contactar o Technical Assistance Center (TAC) e habilitar acesso remoto para sua pesquisa. Para clusters, se houver pelo menos um membro comprometido, a Cisco recomenda restaurar todos os membros do cluster para remover chaves privadas que possam estar comprometidas.

Comando de verificação que a Cisco publicou: grep "System Security" system_logs. Esse cheque interno devolve um de três mensagens que indicam suspeita de compromisso, indicação de que a verificação não terminou corretamente, ou que não foi detectada indicador. A Cisco esclarece que um resultado limpo não garante a ausência de compromisso, porque um atacante com o root poderia apagar ou adulterar provas; por isso também há que revisar registros de firewall e rede para transferências anormais para/desde IP externos.

Recomendações práticas complementares (ações defensivas a curto e médio prazo): 1) Confirme imediatamente a versão do scanner e a configuração do File Reputation. 2) Aplique a atualização do Content Scanner Tools ou atualize AsyncOS segundo a política de sua organização. 3) Se detectar atividade suspeita, preserve logs, isole o appliance e proceda a reconstruir de acordo com as indicações da Cisco. 4) Rotee credenciais, renueve certificados e chaves, e verifique chaves SSH de cluster. 5) Segmente a gestão do gateway e restringa saídas de rede não necessárias a partir do appliance para limitar a capacidade de exfiltração.

Contexto maior e anterior: esta é a segunda vulnerabilidade do Secure Email Gateway que a Cisco confirmou como explorada ativamente em pouco mais de um mês; em setembro divulgou outra vulnerabilidade crítica tipo SQL injection (CVE-2026-76461) que também permite execução como root. A Cisco reuniu vários erros internos em um hardening release e, sob a sua política de divulgação, atribui CVE individuais quando um erro se confirma explorado na natureza. Para se localizar num quadro mais amplo de risco, consulte a lista de vulnerabilidades exploradas conhecida pela Agência de Segurança de Infra-estruturas e Cibersegurança dos EUA. EUA. : https://www.cisa.gov/known-exploited-vulnerabilities/current-list, e a ficha pública do CVE na base NVD para detalhes técnicos e temporários: https://nvd.nist.gov/vuln/detail/CVE-2026-76519. Você também pode rever a página do produto da Cisco Secure Email Gateway para links para avisos e guias de atualização: https://www.cisco.com/c/en/us/products/security/email-security/index.html.

Informação ainda incerta ou não divulgada pela Cisco: o número de dispositivos comprometidos, se algum atacante conseguiu efetivamente privilégios root em implantaçãos em produção, identidade ou motivação do (os) ator(es) e a forma exata do cheque forense que a Cisco emprega. Dado esse grau de incerteza, a resposta prudente é assumir risco real em qualquer gateway vulnerável e agir com a rapidez e o rigor que exigem privilégios de nível root em um dispositivo de perímetro.

Se você administra infra-estruturas que dependem da Cisco Secure Email Gateway, tente esta nota como um alerta de alta prioridade: verifique a configuração e versões agora, aplique a correção e siga as instruções de preservação forense e recuperação quando houver indícios de intrusão. Em caso de dúvidas operacionais ou sinais de compromisso, contacte o titular da Cisco para coordenação técnica.