Компания Cisco предупредила, что новая критическая уязвимость, затрагивающая программное обеспечение AsyncOS для Cisco Secure Email Gateway, стала активно эксплуатироваться злоумышленниками.
Уязвимость, зарегистрированная под номером CVE-2026-76461, имеет оценку CVSS 9,8 из 10,0. Она описана как недостаточная проверка в логике разбора электронной почты, что может позволить неавторизованному удаленному злоумышленнику выполнять произвольные команды с правами root в базовой операционной системе.
«Злоумышленник может воспользоваться этой уязвимостью, отправив специально сформированное электронное письмо, содержащее вредоносные SQL-операторы, через уязвимое устройство», — сообщила компания Cisco в рекомендациях, опубликованных в понедельник. «Успешная эксплуатация уязвимости может позволить злоумышленнику выполнять произвольные SQL-операторы, что приведет к выполнению команд с правами root в базовой операционной системе».
Данная уязвимость затрагивает Cisco Secure Email Gateway, как в физическом, так и в виртуальном исполнении, независимо от конфигурации устройства. Однако производитель сетевого оборудования отметил, что другие продукты, такие как Secure Email and Web Manager и Secure Web Appliance, не подвержены этой уязвимости.
Исправления доступны для следующих версий Cisco AsyncOS для Cisco Secure Email Gateway Software Release —
- 15.5 и более ранние (исправлено в версии 15.5.5-0141)
- 16.0 (исправлено в версии 16.0.4-302)
- 16.5 (исправлено в версии 16.5.0-780)
Помимо обновления до последней поддерживаемой версии, обходных решений не существует. Компания Cisco сообщила, что в этом месяце ей стало известно об активном использовании этой уязвимости, и предоставила следующие индикаторы компрометации (IoC):
- Просмотрите файлы mail_logs и обратите внимание на подозрительные SQL-запросы.
- Если устройство входит в кластер, просмотрите журналы каждого устройства кластера.
- Для обнаружения потенциально вредоносных SQL-запросов рекомендуется выполнить команду: cisco-esa> grep -i "COPY.*TO PROGRAM" [Журналы текстовой почты IronPort; имя журнала — по умолчанию: mail_logs]
- Наличие любой записи в выводе может указывать на вредоносную активность.
Компания Cisco также сообщила, что напрямую связалась с клиентами, владеющими устройствами Cisco Secure Email Cloud, на которых была обнаружена вредоносная активность. Масштабы атак не раскрывались.
«В случае успешного использования этой уязвимости злоумышленники могут получить возможность выполнения команд с правами root», — предупредила компания. «Из-за такого уровня доступа злоумышленники могут удалить или скрыть доказательства эксплуатации уязвимости и индикаторы компрометации».
В связи с этим администраторам рекомендуется провести перекрестную проверку сетевых журналов и журналов брандмауэра за пределами затронутого устройства с целью выявления любой потенциальной аномальной активности, включая неожиданные загрузки, инициированные с затронутого устройства на внешние IP-адреса, или загрузки с вредоносных IP-адресов.
Данное событие побудило Агентство по кибербезопасности и безопасности инфраструктуры США Агентство по кибербезопасности и безопасности инфраструктуры (CISA) добавить CVE-2026-76461 в свой каталог известных уязвимостей, используемых злоумышленниками (KEV), обязав агентства Федеральной гражданской исполнительной ветви власти (FCEB) установить исправления до 17 сентября 2026 года.
Масштабные атаки с использованием учетных данных нацелены на VPN-устройства Fortinet
Обнародование этой информации произошло через несколько дней после того, как компания Arctic Wolf сообщила, что в конце августа 2026 года обнаружила крупномасштабные атаки с использованием учетных данных, направленные на подключенные к Интернету устройства VPN Fortinet. Массивная активность проходила в виде двух непрерывных волн в средах нескольких американских клиентов с 26 по 28 августа 2026 года, что привело к десяткам миллионов неудачных попыток аутентификации.
«Злоумышленник использовал имена пользователей, характерные для конкретных организаций, корпоративные адреса электронной почты, учетные записи аффилированных лиц и распространенные административные учетные записи, что указывает на доступ к ранее собранной или перечисленной идентификационной информации», — заявил исследователь в области безопасности Кайл Сиддалл.
«Среди пробованных имен пользователей были имена сотрудников, корпоративные адреса электронной почты, учетные записи аффилированных лиц и распространенные административные учетные записи, связанные с целевыми организациями. Такой целенаправленный подбор идентификационных данных, а не общий метод перебора имен пользователей, указывает на доступ к ранее собранной или перечисленной идентификационной информации».
В одном из зафиксированных случаев за успешной аутентификацией в VPN-сети Fortinet, инициированной с IP-адреса «158.94.211[.]14», последовала вредоносная активность в затронутой среде.