Cisco, Secure Email Gateway (SEG) cihazlarında istismar edilen bir sıfır gün açığını gidermek için bir güvenlik güncellemesi yayımladı. Açık, uzaktan ve kimlik doğrulaması olmadan saldırganların dosya yazmasına ve temel işletim sistemi üzerinde root yetkileriyle komut çalıştırmasına olanak tanıyabilir.
CVE-2026-76519 numaralı açık, e-posta eklerinin uygunsuz şekilde işlenmesi sonucunda Advanced Malware Protection (AMP) özelliğindeki göreli yol geçişi zafiyetinden kaynaklanıyor. Cisco’nun açıklamasına göre, güncellenmemiş bir cihaz üzerinden özel olarak hazırlanmış bir ek içeren bir mesaj göndermek açığı istismar etmek için yeterli.
Açıktan kimler etkileniyor?
SEG örnekleri, File Reputation hizmeti etkinleştirilip bir e-posta politikasına atanmışsa ve Content Scanner Tools sürümü 25.3.0.5525’ten eskiyse etkileniyor. Yöneticiler sürümü CLI arayüzü üzerinden contentscannerstatus komutunu kullanarak doğrulayabilir, ardından Advanced Malware Protection bölümündeki gelen veya giden e-posta politikalarında Enable File Reputation seçeneğini inceleyebilir.
Aktif istismar ve ihlal göstergeleri
Cisco, olay müdahale ekibi PSIRT’nin Ekim 2026’da açığın aktif olarak istismar edildiğinden haberdar olduğunu, ancak saldırılar veya bunların arkasındaki aktörler hakkında ek ayrıntı yayımlamadığını söyledi. Şirket bunun yerine sistem mesajlarıyla ilişkili ihlal göstergeleri sundu. Bunlar arasında bir ihlal göstergesinin bulunmasından şüphelenilmesi, güvenlik taramasının tamamlanmaması veya herhangi bir gösterge bulunamaması yer alıyor.
İhlal belirtilerinin görüldüğü veya taramanın başarısız olduğu durumlarda Cisco, Teknik Destek Merkezi TAC ile iletişime geçilmesini öneriyor. İhlal göstergesi bulunamadığını belirten bir mesajın görüntülenmesi, mevcut olduğunda sabit bir sürüme yükseltme yapılması gereğini ortadan kaldırmıyor.
Sistem yöneticileri ne yapmalı?
Cisco, root yetkileriyle komut çalıştırabilen saldırganın istismar izlerini kaldırabileceği konusunda uyardı. Bu nedenle şirket, güvenlik duvarı ve ağ günlüklerinin indirmeler veya yüklemeler ile harici ya da şüpheli IP adresleriyle iletişim açısından incelenmesini önerdi. Ayrıca şirketin iletişime geçtiği müşterilerden cihazı güvenli bir yapılandırmaya döndürmelerini, mümkün olduğunda cihazda yüklü kimlik bilgilerini ve kriptografik materyalleri yenilemelerini, cihaza erişimi kısıtlamalarını ve güçlü erişim kontrol mekanizmaları uygulamalarını istedi.
Bu haber neden önemli?
Açığın tehlikesi üç unsurun birleşiminden kaynaklanıyor: kimlik doğrulaması gerektirmemesi, bir e-posta eki üzerinden istismar edilebilmesi ve root yetkileri sağlaması. Açık ayrıca Cisco’nun e-posta güvenliği ürünlerini etkileyen istismar edilmiş açıklar zincirinin bir parçası. Bu durum, sürümlerin doğrulanmasını ve günlüklerin incelenmesini yalnızca rutin bir güncelleme değil, acil bir işlem hâline getiriyor.
Shadowserver, internete açık yaklaşık 300 Cisco Secure Email Gateway örneğini izliyor. Ancak sanal cihazların veya hâlihazırda güvenli hâle getirilen cihazların sayısını belirleyen bilgiler mevcut değil. Cisco, Temmuz 2024’te SEG’de CVE-2024-20401 numaralı başka bir açığı gidermiş, ardından Ocak ayında Kasım 2025’ten beri istismar edilen CVE-2025-20393 numaralı kritik bir AsyncOS açığını düzeltmişti. Şirket geçen ay, e-posta analizinde root yetkileriyle komut çalıştırılmasına da olanak tanıyan CVE-2026-76461 numaralı başka bir sıfır gün açığı konusunda uyardı.