Cisco 发布安全更新，以修复 Secure Email Gateway（SEG）设备中一个遭到利用的零日漏洞。该漏洞可能允许远程且未经身份验证的攻击者在底层操作系统上以 root 权限写入文件并执行命令。
该漏洞编号为 CVE-2026-76519，源于 Advanced Malware Protection（AMP）功能中的相对路径遍历弱点，原因是对电子邮件附件的处理不当。根据 Cisco 的描述，攻击者只需通过未更新的设备发送一封包含特制附件的邮件，即可利用该缺陷。
哪些设备受该漏洞影响？
当 File Reputation 服务已启用并分配给某项邮件策略，且 Content Scanner Tools 版本早于 25.3.0.5525 时，SEG 实例会受到影响。管理员可以通过 CLI 界面使用 contentscannerstatus 命令检查版本，然后在 Advanced Malware Protection 部分的入站或出站邮件策略中查看 Enable File Reputation 选项。
主动利用与入侵指标
Cisco 表示，其事件响应团队 PSIRT 于 2026 年 10 月获悉该漏洞遭到主动利用，但没有公布有关攻击或幕后实体的更多细节。作为替代，公司提供了与系统消息相关的入侵指标，包括疑似发现入侵指标、未完成安全扫描，或未发现指标。
在出现入侵迹象或扫描失败的情况下，Cisco 建议联系技术援助中心 TAC。即使出现未发现入侵指标的消息，仍不能免除在稳定版本可用后升级的必要性。
系统管理员应采取哪些措施？
Cisco 警告，获得 root 权限命令执行能力的攻击者可能会清除利用痕迹。因此，公司建议检查防火墙和网络日志，查找下载或上传操作，以及与外部或可疑 IP 地址的通信。公司还要求已与其取得联系的客户将设备恢复到安全配置，并在可能的情况下更新设备上安装的凭据和加密材料，同时限制对设备的访问并实施强大的访问控制机制。
这则消息为何重要？
该漏洞的危险性在于三个因素叠加：无需身份验证、可通过电子邮件附件利用，以及能够获得 root 权限。此外，该漏洞属于影响 Cisco 电子邮件安全产品的一系列遭利用漏洞之一，因此核查版本和检查日志是紧急措施，而不仅仅是例行更新。
Shadowserver 正监测约 300 个暴露在互联网上的 Cisco Secure Email Gateway 实例，但目前没有信息能够确定其中有多少是虚拟设备，或有多少已经得到保护。Cisco 曾于 2024 年 7 月修复 SEG 中编号为 CVE-2024-20401 的另一漏洞，随后在 1 月修复了一个编号为 CVE-2025-20393 的严重 AsyncOS 漏洞，该漏洞自 2025 年 11 月起遭到利用。上个月，公司警告称，邮件分析功能中还存在另一个编号为 CVE-2026-76461 的零日漏洞，同样可实现 root 权限命令执行。