Cisco a publié une mise à jour de sécurité pour corriger une vulnérabilité zero-day exploitée dans les appareils Secure Email Gateway (SEG), qui peut permettre à des attaquants distants et non authentifiés d’écrire des fichiers et d’exécuter des commandes avec les privilèges root sur le système d’exploitation sous-jacent.
La vulnérabilité porte le numéro CVE-2026-76519 et provient d’une faiblesse de traversée de chemins relatifs dans la fonctionnalité Advanced Malware Protection (AMP), due à une gestion incorrecte des pièces jointes aux e-mails. Selon la description de Cisco, il suffit d’envoyer, via un appareil non mis à jour, un message contenant une pièce jointe spécialement conçue pour exploiter la faille.
Qui est affecté par la vulnérabilité ?
Les instances SEG sont affectées lorsque le service File Reputation est activé et associé à une politique de messagerie, et lorsque la version de Content Scanner Tools est antérieure à 25.3.0.5525. Les administrateurs peuvent vérifier la version à l’aide de la commande contentscannerstatus via l’interface CLI, puis examiner l’option Enable File Reputation dans les politiques de courrier entrant ou sortant, dans la section Advanced Malware Protection.
Exploitation active et indicateurs de compromission
Cisco a déclaré que son équipe de réponse aux incidents PSIRT avait appris en octobre 2026 l’existence d’une exploitation active de la vulnérabilité, mais n’a pas publié de détails supplémentaires sur les attaques ou les acteurs qui en sont responsables. L’entreprise a plutôt fourni des indicateurs de compromission associés aux messages système, notamment la détection présumée d’un indicateur de compromission, l’échec de l’analyse de sécurité ou l’absence d’indicateur détecté.
Lorsque des signes de compromission apparaissent ou que l’analyse échoue, Cisco recommande de contacter le centre d’assistance technique TAC. En revanche, l’apparition d’un message indiquant qu’aucun indicateur de compromission n’a été trouvé ne dispense pas de procéder à la mise à niveau vers une version corrigée dès qu’elle est disponible.
Que doivent faire les administrateurs système ?
Cisco a averti qu’un attaquant ayant obtenu l’exécution de commandes avec les privilèges root pouvait supprimer les traces de l’exploitation. L’entreprise recommande donc d’examiner les journaux des pare-feu et des réseaux à la recherche de téléchargements, d’opérations d’envoi ou de communications avec des adresses IP externes ou suspectes. Elle a également demandé aux clients contactés par l’entreprise de restaurer l’appareil dans une configuration sûre et, lorsque cela est possible, de renouveler les identifiants et le matériel cryptographique installés sur l’appareil, tout en limitant l’accès à celui-ci et en appliquant des mécanismes robustes de contrôle d’accès.
Pourquoi cette information est-elle importante ?
La gravité de la vulnérabilité tient à la combinaison de trois éléments : l’absence de besoin d’authentification, la possibilité de l’exploiter via une pièce jointe et l’obtention des privilèges root. Elle s’inscrit également dans une série de vulnérabilités exploitées ayant affecté les produits de sécurité de la messagerie de Cisco, ce qui fait de la vérification des versions et de l’examen des journaux des mesures urgentes, et non une simple mise à jour de routine.
Shadowserver surveille environ 300 instances de Cisco Secure Email Gateway exposées sur Internet, sans qu’aucune information ne permette de déterminer combien d’appareils sont des leurres ou ont déjà été sécurisés. Cisco avait corrigé en juillet 2024 une autre vulnérabilité de SEG, référencée CVE-2024-20401, puis avait corrigé en janvier une vulnérabilité critique d’AsyncOS, référencée CVE-2025-20393, exploitée depuis novembre 2025. Le mois dernier, l’entreprise avait averti d’une autre vulnérabilité zero-day dans l’analyse des e-mails, référencée CVE-2026-76461, qui permet également d’exécuter des commandes avec les privilèges root.