Cisco: aktywne ataki na bramki pocztowe. Luka pozwala wykonywać polecenia jako root

Cisco potwierdziło aktywne wykorzystywanie luki CVE-2026-76519 w Secure Email Gateway. Wiadomość ze spreparowanym załącznikiem może umożliwić napastnikowi zapis plików i wykonywanie poleceń z uprawnieniami root, bez logowania. Producent opublikował osobne ostrzeżenie 14 października o godz. 16:00 UTC, czyli 18:00 czasu polskiego.

Co się stało

Błąd dotyczy obsługi załączników w funkcji Advanced Malware Protection. Cisco dowiedziało się o atakach w październiku, ale nie ujawniło ich skali ani sprawców. Podatność otrzymała ocenę 9,8 w skali CVSS.

Zagrożone są fizyczne i wirtualne bramki, w których usługa File Reputation jest włączona i przypisana do polityki pocztowej, a pakiet Content Scanner Tools ma wersję starszą niż 25.3.0.5525. Oba warunki muszą występować jednocześnie.

Nową informacją jest publiczne potwierdzenie ataków i nadanie luce osobnego identyfikatora. Poprawkę zawierały już wrześniowe wydania wzmacniające bezpieczeństwo. Sama data ostatniej aktualizacji urządzenia nie wystarcza więc do oceny jego stanu.

Co zrobić teraz

• Sprawdź wersję pakietu poleceniem contentscannerstatus oraz ustawienie File Reputation w politykach pocztowych.
• Potwierdź instalację Content Scanner Tools 25.3.0.5525 lub nowszego. Przy wyłączonych aktualizacjach automatycznych użyj contentscannerupdate. Aktualizacja tego pakietu nie wymaga restartu.
• Zweryfikuj także AsyncOS: poprawione wydania to 15.5.5-014 i 16.5.0-780. Dla gałęzi 16.0 producent wskazuje migrację.
• Przejrzyj komunikaty „System Security” w dzienniku system_logs każdego urządzenia w klastrze. Porównaj je z dziennikami sieci i zapór poza bramką: napastnik z uprawnieniami root może usuwać ślady.
• Przy podejrzeniu przejęcia zabezpiecz materiał dowodowy przed zmianami i zastosuj procedurę odzyskiwania Cisco. Aktualizacja przejętej maszyny wirtualnej może zniszczyć dzienniki potrzebne do analizy.

Wgranie poprawki i zbadanie wcześniejszego włamania to dwa odrębne zadania. Dla podejrzanych urządzeń fizycznych Cisco zaleca kontakt ze wsparciem TAC, a dla wirtualnych — odbudowę środowiska i odnowienie poświadczeń.

Komentarz SecurHUB

Bramka pocztowa wymaga takiej samej kontroli bezpieczeństwa jak pozostałe systemy przetwarzające firmową korespondencję. Przy oznakach przejęcia obsługa incydentów powinna objąć zabezpieczenie dowodów i ustalenie zakresu dostępu napastnika.

Źródła: Cisco, BleepingComputer, The Hacker News