Cisco выпустила обновление безопасности для устранения эксплуатируемой уязвимости нулевого дня в устройствах Secure Email Gateway (SEG), которая может позволить удалённым злоумышленникам без аутентификации записывать файлы и выполнять команды с правами root в базовой операционной системе.
Уязвимости присвоен номер CVE-2026-76519. Она возникает из-за недостатка, связанного с обходом относительных путей в функции Advanced Malware Protection (AMP), вследствие некорректной обработки вложений электронной почты. Согласно описанию Cisco, для эксплуатации ошибки достаточно отправить через не обновлённое устройство сообщение со специально подготовленным вложением.
Какие системы затронуты уязвимостью?
Экземпляры SEG подвержены уязвимости, если служба File Reputation включена и назначена политике электронной почты, а версия Content Scanner Tools ниже 25.3.0.5525. Администраторы могут проверить версию с помощью команды contentscannerstatus через интерфейс CLI, а затем проверить параметр Enable File Reputation в политиках входящей или исходящей почты в разделе Advanced Malware Protection.
Активная эксплуатация и признаки компрометации
Cisco сообщила, что команда реагирования на инциденты PSIRT узнала в октябре 2026 года об активной эксплуатации уязвимости, однако не раскрыла дополнительных сведений об атаках или стоящих за ними группах. Вместо этого компания предоставила признаки компрометации, связанные с системными сообщениями, включая подозрение на обнаружение признака компрометации, незавершённое выполнение проверки безопасности или отсутствие обнаруженных признаков.
В случаях, когда появляются признаки компрометации или проверка завершается с ошибкой, Cisco рекомендует обратиться в центр технической поддержки TAC. При этом сообщение об отсутствии признаков компрометации не отменяет необходимости обновиться до стабильной версии, когда она станет доступна.
Что следует делать системным администраторам?
Cisco предупредила, что злоумышленник, получивший возможность выполнять команды с правами root, может удалить следы эксплуатации. Поэтому компания рекомендовала проверить журналы межсетевых экранов и сетей на наличие загрузок, операций выгрузки и соединений с внешними или подозрительными IP-адресами. Также Cisco попросила клиентов, с которыми она связалась, вернуть устройство к безопасным настройкам, обновить учётные данные и криптографические материалы, установленные на устройстве, если это возможно, ограничить доступ к устройству и применять надёжные механизмы контроля доступа.
Почему эта новость важна?
Опасность уязвимости обусловлена сочетанием трёх факторов: отсутствием необходимости в аутентификации, возможностью эксплуатации через вложение электронной почты и получением прав root. Кроме того, она входит в серию эксплуатируемых уязвимостей, затронувших продукты Cisco для защиты электронной почты, что делает проверку версий и анализ журналов срочными мерами, а не просто плановым обновлением.
Shadowserver отслеживает около 300 экземпляров Cisco Secure Email Gateway, доступных в интернете, при этом отсутствует информация, позволяющая определить количество фиктивных устройств или устройств, которые уже были защищены. В июле 2024 года Cisco устранила ещё одну уязвимость в SEG под номером CVE-2024-20401, а затем в январе исправила критическую уязвимость AsyncOS под номером CVE-2025-20393, которая эксплуатировалась с ноября 2025 года. В прошлом месяце компания предупредила ещё об одной уязвимости нулевого дня в анализе электронной почты под номером CVE-2026-76461, которая также позволяет выполнять команды с правами root.