Cisco закрыла новую 0-day-уязвимость в Secure Email Gateway, уже используемую в атаках

Компания Cisco выпустила исправление для очередной уязвимости нулевого дня в своём шлюзе безопасности электронной почты (Secure Email Gateway, SEG). Брешь, получившая идентификатор CVE-2026-76519, позволяла удалённому неаутентифицированному злоумышленнику выполнять произвольные команды с правами root на операционной системе устройства.

Как устроена атака

Проблема кроется в компоненте Advanced Malware Protection (AMP) и связана с некорректной обработкой вложений электронной почты — это разновидность ошибки относительного обхода пути (path traversal). Чтобы воспользоваться уязвимостью, атакующему достаточно отправить через непропатченное устройство письмо со специально сформированным вложением. Успешная эксплуатация позволяет записывать произвольные файлы и исполнять команды с root-привилегиями.

По данным Cisco, в октябре 2026 года группа реагирования PSIRT зафиксировала активную эксплуатацию уязвимости в реальных атаках.

Кто под угрозой

Уязвимы устройства SEG, где включена служба File Reputation, назначенная на почтовую политику, а версия Content Scanner Tools ниже 25.3.0.5525. Проверить версию можно командой contentscannerstatus в CLI, а статус службы — по отметке «Enable File Reputation» в настройках входящих и исходящих почтовых политик веб-интерфейса.

Деталей самих атак Cisco не раскрыла, но опубликовала индикаторы компрометации. Компания также предупредила, что злоумышленники, получив права root, могут удалять следы вторжения, поэтому администраторам рекомендуется сверять журналы межсетевых экранов и сети на предмет подозрительной активности, включая обмен данными с внешними IP-адресами.

На облачных экземплярах Cisco уже развернула меры защиты и связалась с владельцами устройств Cisco Secure Email Cloud, где обнаружила признаки возможной компрометации. Пострадавшим советуют восстановить безопасную конфигурацию: сменить учётные данные и все криптографические материалы на устройстве, а также ограничить доступ к нему.

Не первый случай

Служба мониторинга Shadowserver насчитывает около 300 экземпляров Cisco SEG, доступных из интернета, хотя неизвестно, сколько из них ловушки или уже защищены.

Это далеко не первая серьёзная брешь в SEG. В июле 2024 года Cisco закрыла критическую CVE-2024-20401, позволявшую добавлять пользователей с правами root. В январе была исправлена уязвимость максимальной опасности CVE-2025-20393, эксплуатировавшаяся с ноября 2025 года. А буквально месяцем ранее компания предупреждала о ещё одной активно используемой 0-day CVE-2026-76461 в разборе писем AsyncOS.

С ноября 2021 года американское агентство CISA внесло в каталог активно эксплуатируемых уязвимостей сто брешей Cisco, семь из которых применялись в атаках программ-вымогателей.

Источник: Bleeping Computer