Cisco Secure Email Gateway снова под атакой: вложение в письме даёт root (CVE-2026-76519)

14 октября Cisco подтвердила, что злоумышленники уже эксплуатируют CVE-2026-76519 (CVSS 9.8) в почтовом шлюзе Secure Email Gateway. Письмо с подготовленным вложением через модуль Advanced Malware Protection позволяет без пароля записать файлы и выполнить команды с правами root. Обходных мер нет: нужно обновить Content Scanner Tools до 25.3.0.5525.

Это уже второй zero-day в этом шлюзе за месяц. В середине сентября мы писали про CVE-2026-76461, где к root вела SQL-инъекция в разборе письма. Новая дыра находится в другом компоненте, но сценарий тот же: устройство, которое должно отсеивать вредоносную почту, само становится точкой входа. Для команд информационной безопасности это задача на сегодня, а не на следующее плановое окно.

Хорошая новость в том, что под удар попадают не все установки, а исправление ставится без перезагрузки. Ниже разбираем, при каких настройках шлюз уязвим, как проверить версию одной командой и что делать, если обновление запоздало.

Что нашла Cisco в модуле AMP

Advanced Malware Protection (AMP) — встроенная в шлюз подсистема, которая проверяет вложения по репутации файлов и отправляет подозрительные образцы на анализ. Согласно бюллетеню Cisco cisco-sa-esa-afw-zqYJkjxp, уязвимость относится к классу относительного обхода пути (relative path traversal): при обработке вложений имена и пути файлов проверяются недостаточно строго. Атакующий отправляет письмо с вредоносным вложением на адрес, который обслуживает уязвимый шлюз. При разборе такого вложения компонент записывает файл за пределами отведённого каталога, и это даёт выполнение произвольных команд с привилегиями root в операционной системе устройства.

Аутентификация не нужна, взаимодействие с пользователем тоже: письмо не обязательно кому-то открывать, потому что атака срабатывает на этапе автоматической проверки. Отсюда оценка 9.8 из 10. Cisco отдельно предупреждает, что с root-доступом злоумышленник может стереть следы своей активности, поэтому чистые логи не доказывают, что шлюз не взломан.

Кто уязвим, а кого бюллетень не касается

Чтобы шлюз был уязвим, должны выполняться два условия одновременно:

• в AMP включена служба File Reputation и она назначена хотя бы одной почтовой политике;
• версия Content Scanner Tools ниже 25.3.0.5525.

Затронуты физические и виртуальные аппараты Cisco Secure Email Gateway. По данным Cisco, Secure Email and Web Manager, Secure Web Appliance и облачный Cisco Secure Email Cloud уязвимости не подвержены. Вендор оценивает число пострадавших как «ограниченное число клиентов», но не раскрывает, кто стоит за атаками и сколько устройств скомпрометировано.

Как проверить шлюз и закрыть дыру

1. Проверьте версию сканера. В CLI шлюза выполните команду contentscannerstatus: она покажет текущую версию Content Scanner Tools.
2. Обновите Content Scanner Tools до 25.3.0.5525 или новее. По данным Cisco, перезагрузка устройства не требуется, так что патч не придётся откладывать до ночного окна.
3. Сверьте политики AMP. Посмотрите, в каких почтовых политиках назначена служба File Reputation. Это поможет оценить, через какие потоки почты могла пройти атака.
4. Проведите разбор инцидента, если обновление запоздало. Поскольку root позволяет удалить следы, шлюз, долго работавший на уязвимой версии, разумно считать потенциально скомпрометированным: ротировать хранящиеся на нём секреты и учётные данные интеграций, проверить конфигурацию фильтрации и исходящие соединения.

Временных обходных мер Cisco не предлагает: в бюллетене прямо сказано, что их нет. CISA добавила CVE-2026-76519 в каталог известных эксплуатируемых уязвимостей (KEV) и, по данным The Register, дала федеральным ведомствам США срок до субботы, то есть всего несколько дней.

Почему повторный zero-day — тревожный сигнал

Две критические уязвимости с одинаковым результатом («письмо даёт root») за месяц говорят о том, что почтовые шлюзы стали приоритетной целью. Вектор доставки встроен в саму функцию устройства: принимать почту из интернета. Если после сентябрьского инцидента команда обновила только AsyncOS, но не следит за версиями отдельно обновляемых компонентов вроде Content Scanner Tools, новая дыра проходит мимо привычного патч-цикла.

Для российских компаний, которые продолжают эксплуатировать ранее закупленные аппараты Cisco, ситуация осложняется доступом к обновлениям. Если быстро получить исправление нельзя, остаётся сокращать поверхность атаки: оценить, насколько критична для вас служба File Reputation, усилить сетевую изоляцию шлюза и закладывать в план миграцию на поддерживаемое решение. Какой вариант допустим, решает служба ИБ с учётом собственных рисков.

Часто задаваемые вопросы

Это та же уязвимость, что в сентябре? Нет. CVE-2026-76461 в сентябре была SQL-инъекцией в разборе письма и закрывалась обновлением AsyncOS. CVE-2026-76519 — обход пути в модуле AMP, и её закрывает обновление Content Scanner Tools.

Уязвим ли облачный Cisco Secure Email Cloud? По данным Cisco, нет. Также не затронуты Secure Email and Web Manager и Secure Web Appliance.

Если File Reputation выключена, можно не обновляться? По условиям бюллетеня такой шлюз не уязвим к CVE-2026-76519. Но служба могла быть включена раньше или включится при изменении политик, поэтому обновить сканер всё равно стоит.

Нужен ли перезапуск устройства? По данным Cisco, обновление Content Scanner Tools ставится без перезагрузки.

Источники

• Cisco Security Advisory — Cisco Secure Email Gateway Arbitrary File Write Vulnerability (cisco-sa-esa-afw-zqYJkjxp), 14 октября 2026 (первоисточник).
• BleepingComputer — Cisco patches new Secure Email Gateway zero-day exploited in attacks, 14 октября 2026.
• The Register — Cisco make-me-root email bug exploited as a 0-day by unknown crims, 14 октября 2026.