A Cisco lançou uma atualização de segurança para corrigir uma vulnerabilidade de dia zero explorada em dispositivos Secure Email Gateway (SEG), que pode permitir que atacantes remotos e sem autenticação escrevam arquivos e executem comandos com privilégios de root no sistema operacional subjacente.
A vulnerabilidade é rastreada como CVE-2026-76519 e surge de uma falha de travessia de caminho relativo no recurso Advanced Malware Protection (AMP), resultante do tratamento inadequado de anexos de e-mail. De acordo com a descrição da Cisco, basta enviar uma mensagem contendo um anexo especialmente criado por meio de um dispositivo desatualizado para explorar a falha.
Quem é afetado pela vulnerabilidade?
As instâncias do SEG são afetadas quando o serviço File Reputation está habilitado e configurado para uma política de e-mail, e quando a versão do Content Scanner Tools é anterior à 25.3.0.5525. Os administradores podem verificar a versão usando o comando contentscannerstatus por meio da interface CLI e, em seguida, revisar a opção Enable File Reputation nas políticas de e-mail de entrada ou saída na seção Advanced Malware Protection.
Exploração ativa e indicadores de comprometimento
A Cisco afirmou que sua equipe de resposta a incidentes PSIRT tomou conhecimento em outubro de 2026 de uma exploração ativa da vulnerabilidade, mas não divulgou detalhes adicionais sobre os ataques ou os grupos por trás deles. Em vez disso, a empresa forneceu indicadores de comprometimento associados a mensagens do sistema, incluindo a suspeita de encontrar um indicador de comprometimento, a falha na conclusão da verificação de segurança ou a ausência de indicadores.
Nos casos em que houver evidências de comprometimento ou a verificação falhar, a Cisco recomenda entrar em contato com o Centro de Assistência Técnica (TAC). Por outro lado, o aparecimento de uma mensagem informando que nenhum indicador de comprometimento foi encontrado não elimina a necessidade de atualizar para uma versão corrigida assim que estiver disponível.
O que os administradores de sistemas devem fazer?
A Cisco alertou que um atacante que obtenha a execução de comandos com privilégios de root pode apagar os rastros da exploração e, portanto, recomendou a revisão dos logs de firewalls e redes em busca de downloads, uploads e comunicações com endereços IP externos ou suspeitos. A empresa também solicitou aos clientes contatados que redefinam o dispositivo para um estado seguro, renovem as credenciais e os materiais criptográficos instalados no dispositivo sempre que possível, além de restringir o acesso ao dispositivo e aplicar mecanismos robustos de controle de acesso.
Por que esta notícia é importante?
A gravidade da vulnerabilidade reside na combinação de três elementos: a ausência de necessidade de autenticação, a possibilidade de exploração por meio de um anexo de e-mail e a obtenção de privilégios de root. Ela também surge em meio a uma série de vulnerabilidades exploradas que afetaram os produtos de segurança de e-mail da Cisco, tornando a verificação de versões e a análise de logs medidas urgentes, e não apenas uma atualização de rotina.
O Shadowserver monitora cerca de 300 instâncias do Cisco Secure Email Gateway expostas à internet, sem informações disponíveis que determinem o número de dispositivos virtuais ou daqueles que já foram protegidos. Em julho de 2024, a Cisco corrigiu outra vulnerabilidade no SEG sob o identificador CVE-2024-20401, seguida pela correção em janeiro de uma falha altamente grave no AsyncOS sob o CVE-2025-20393, que vinha sendo explorada desde novembro de 2025. No mês passado, a empresa emitiu um alerta sobre outra vulnerabilidade de dia zero na análise de e-mails sob o CVE-2026-76461, que também permite a execução de comandos com privilégios de root.