Cisco подтвердила активную эксплуатацию CVE-2026-76519 в Secure Email Gateway. Уязвимость с оценкой CVSS 9,8 позволяет неавторизованному отправителю записывать файлы в ОС шлюза через специально сформированное почтовое вложение и при успешной эксплуатации выполнять команды с правами root.
Проблему компания обнаружила при внутреннем сканировании безопасности, а сведения об атаках получила в октябре. Cisco не раскрыла количество затронутших устройств, возможных операторов атак и не сообщила, подтверждено ли получение root-доступа хотя бы к одному шлюзу.
Какие устройства затронуты
Для эксплуатации CVE-2026-76519 должны одновременно выполняться два условия:
- служба File Reputation из состава Advanced Malware Protection (AMP) включена и назначена почтовой политике;
- установлена версия Content Scanner Tools ниже 25.3.0.5525.
Проблема затрагивает физические и виртуальные Cisco Secure Email Gateway на уязвимых версиях AsyncOS. Secure Email and Web Manager и Secure Web Appliance, по данным Cisco, ей не подвержены.
File Reputation обрабатывает вложения электронной почты. Проверить, применяется ли функция к политике, можно в разделе «Политики почты» → «Политики входящей почты» → «Расширенная защита от вредоносных программ»; аналогичная настройка доступна в политиках исходящей почты. В выбранной политике необходимо проверить параметр «Включить репутацию файлов».
Версию Content Scanner Tools и дату последнего обновления показывает CLI-команда:
contentscannerstatus
Исправления и обновление сканера
Cisco устранила уязвимость в выпусках AsyncOS, опубликованных 14 сентября: 15.5.5-014 и 16.5.0-780. Альтернативный вариант — обновить Content Scanner Tools до версии 25.3.0.5525 или новее. Такое обновление можно установить отдельно от AsyncOS без перезапуска устройства.
Первые исправленные версии указаны так:
- AsyncOS 15.5 — 15.5.5-014;
- AsyncOS 16.0 — исправленных сборок нет, требуется переход на исправленный выпуск;
- AsyncOS 16.5 — 16.5.0-780;
- Content Scanner Tools для всех лицензируемых и поддерживаемых версий AsyncOS — 25.3.0.5525 или новее.
Если автоматические обновления Content Scanner Tools включены, после получения пакета дополнительных действий не требуется. При этом Cisco рекомендует не исходить из этого предположения и подтвердить установленную версию командой contentscannerstatus.
При отключенных автоматических обновлениях сканер можно обновить командой contentscannerupdate либо включить обновления через меню Security Services → Service Updates.
Cisco рекомендует всем шлюзам на версиях ниже 16.5 перейти на 16.5.0-780. Сборка 16.0.4-302, в которой ранее устранили выявленную в сентябре SQL-инъекцию, CVE-2026-76519 не закрывает. В уведомлении также не уточняется, какие версии AsyncOS считаются лицензируемыми и поддерживаемыми именно для обновления сканера. Для устройства, остающегося на ветке 16.0, единственным указанным способом подтвердить защиту остается проверка версии Content Scanner Tools через contentscannerstatus.
Обходного решения для CVE-2026-76519 нет.
Проверка на признаки компрометации
При сопоставлении результатов проверки с данными других средств мониторинга в рамках централизованного анализа событий можно также обратиться к Security Capsule SIEM. Это не заменяет проверку, рекомендованную Cisco, и анализ журналов самого шлюза.
Cisco предлагает выполнить на каждом устройстве команду:
grep "System Security" system_logs
Команда может вернуть один из трех результатов.
System Security: Обнаружен индикатор подозрения на взлом. Обратитесь в TAC для получения дальнейших рекомендаций.
Этот результат означает, что встроенная проверка обнаружила признак компрометации. Cisco рекомендует обратиться в Центр технической поддержки Cisco — TAC.
System Security: Сканирование безопасности не завершено. Обратитесь в TAC для получения дальнейших рекомендаций.
В этом случае проверка не завершилась, и компания также предлагает обратиться в TAC.
System Security: Индикаторы взлома не обнаружены.
Такой ответ означает лишь отсутствие индикаторов, которые выявляет встроенное сканирование. Устройство на уязвимой версии все равно необходимо обновить.
Проверку нужно выполнить на каждом участнике кластера. Cisco отдельно предупреждает: отсутствие срабатываний не доказывает отсутствие взлома, поскольку атакующий с root-правами может удалить или скрыть следы. Следует проверить внешние по отношению к устройству источники — в частности, журналы межсетевых экранов и сетевые логи — на неожиданные выгрузки данных на внешние IP-адреса или скачивание данных с вредоносных адресов. Какие именно признаки ищет встроенное сканирование, компания не раскрывает.
Что делать при подтвержденной компрометации
Для физического устройства Cisco просит обратиться в TAC и включить удаленный доступ, чтобы инженеры компании могли провести расследование.
Для виртуального шлюза сначала следует сохранить данные для криминалистического анализа. Обновление уже скомпрометированного экземпляра уничтожит журналы и другие доказательства. Затем Cisco рекомендует:
- развернуть новую виртуальную машину на стабильной версии;
- восстановить конфигурацию, не импортируя прежние файлы конфигурации;
- сменить учетные данные и криптографические материалы на устройстве;
- продолжить наблюдение за необычной активностью.
Участники кластера Cisco Secure Email Gateway аутентифицируют друг друга парами SSH-ключей. Частный ключ скомпрометированного узла потенциально способен дать атакующему доступ к другим участникам. Поэтому Cisco рекомендует восстановить каждый узел кластера, если скомпрометирован хотя бы один.
Компания сообщила, что связалась с клиентами управляемого сервиса Secure Email Cloud, на устройствах которых выявила «признаки возможного взлома», и занимается устранением уязвимости и восстановлением. У администраторов таких управляемых шлюзов может не быть доступа к CLI для самостоятельной проверки. Исправленный сканер Cisco уже развернула в этой среде, поэтому вручную получать обновление не требуется. Клиентам, с которыми компания связалась, предлагается сменить учетные данные и криптографические материалы там, где это возможно.
Вторая подтвержденно эксплуатируемая проблема за месяц
CVE-2026-76519 стала второй уязвимостью Secure Email Gateway, эксплуатацию которой Cisco подтвердила за последний месяц. 14 сентября компания раскрыла CVE-2026-76461 — SQL-инъекцию в механизме разбора электронной почты. По данным Cisco, она позволяла неавторизованному отправителю запускать команды с правами root.
Для CVE-2026-76519 приоритет зависит не только от версии AsyncOS, но и от конфигурации почтовых политик: эксплуатация требует включенной и назначенной политике функции File Reputation, а также уязвимой версии Content Scanner Tools. Поэтому проверку целесообразно начать с определения того, применяется ли File Reputation к входящим или исходящим политикам, после чего подтвердить версию сканера и установить обновление.
Организациям, использующим Cisco Secure Email Gateway, следует в первую очередь установить, включена ли File Reputation в почтовых политиках, проверить версию Content Scanner Tools и обновить ее до 25.3.0.5525 или новее либо установить исправленный AsyncOS. Проверку на признаки компрометации необходимо выполнить на всех узлах кластера. При подозрениях ее нужно дополнить анализом внешних сетевых журналов и логов межсетевого экрана.
Отсутствие результата во встроенном сканировании не отменяет обновление: Cisco прямо указывает, что следы на самом устройстве могут быть удалены или скрыты атакующим с root-правами. Для виртуальных шлюзов при подтвержденной компрометации важно сначала сохранить данные для криминалистического анализа, поскольку обновление экземпляра может уничтожить журналы и другие доказательства.