Стежити Cisco виправила CVE-2026-76519, критичну zero-day вразливість, що впливає на Cisco Secure Email Gateway (SEG), яка вже експлуатується в реальних атаках. Вразливість має CVSS-оцінку 9.8 і дозволяє віддаленому атакувачу без автентифікації записувати довільні файли та виконувати команди з правами root на вразливих пристроях.
Вразливість знаходиться у функціональності Advanced Malware Protection (AMP) Cisco Secure Email Gateway і виникає через неправильне оброблення вкладень електронної пошти, коли служба оцінки репутації файлів увімкнена. Атакувач може експлуатувати проблему просто відправивши електронний лист зі спеціально сформованим вкладенням через вразливий шлюз, без необхідності в облікових даних або взаємодії користувача.
Cisco оприлюднило вразливість 14 жовтня 2026 року після того, як її команда реагування на інциденти безпеки продуктів (PSIRT) стала обізнана про активну експлуатацію протягом жовтня. Компанія не розкрила, хто стоїть за атаками, скільки пристроїв було скомпрометовано або що робили атакувачі після отримання доступу.
Вразливість викликає особливе занепокоєння через те, що пристрої шлюзу безпеки електронної пошти розміщені безпосередньо в інфраструктурі електронної пошти підприємства. Успішне скомпрометування з правами root може надати атакувачам значний контроль над пристроєм безпеки, доступ до облікових даних і криптографічного матеріалу, і потенційно дозволити проникнення до додаткових систем.
CISA додала цю вразливість до свого каталогу відомих експлуатованих вразливостей, зобов’язуючи застосовувати її агентствам цивільної безпеки США до 17 жовтня 2026 року.
Організації можуть використовувати платформу AI-Native Detection Intelligence від SOC Prime для посилення своїх захисних споруд проти нових вразливостей та прискорення пошуку загроз, розслідування та інженерії детекцій у середовищах SIEM, EDR, XDR та Data Lake.
Фахівці з безпеки також можуть використовувати Prime Architect для перетворення нової розвідки загроз на логіку детекцій, перетворення індикаторів у запити для пошуку загроз, вдосконалення існуючих правил та адаптації детекцій до телеметрії своїх організацій.
Зв’язатися з відділом продажів
Аналіз CVE-2026-76519
CVE-2026-76519 вражає фізичні та віртуальні пристрої Cisco Secure Email Gateway, які виконують уразливі випуски Cisco AsyncOS, коли виконуються дві конкретні умови: служба оцінки репутації файлів увімкнена та призначена політиці пошти, а встановлена версія Content Scanner Tools є ранішою за 25.3.0.5525.
Cisco класифікує вразливість як CWE-23, Traversal відносних шляхів. Неправильна обробка вкладень електронної пошти у функції Advanced Malware Protection дозволяє спеціально створеному вкладенню маніпулювати шляхами файлів і змушувати записувати довільні файли до базової операційної системи пристрою.
Атака не потребує автентифікації. Загрозливий суб’єкт лише повинен відправити електронний лист з шкідливим вкладенням через вразливий шлюз. Немає потреби у тому, щоб отримувач відкривав повідомлення або взаємодіяв з вкладенням, щоб сам шлюз обробив вміст.
Успішна експлуатація може просунутися за рамки створення довільних файлів. Cisco підтверджує, що атакувачі можуть використовувати слабкість для виконання команд з правами root на операційній системі, ефективно надаючи повний контроль над скомпрометованим пристроєм.
Вразливість отримала бал CVSS 3.1 – 9.8 вектором AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Поєднання віддаленої досяжності, низької складності атаки, вимоги до прав інформації та виконання обходу без взаємодії користувача пояснює її критичну оцінку.
Cisco Secure Email and Web Manager і Cisco Secure Web Appliance не постраждали від цієї вразливості. Хмарні середовища Cisco Secure Email вже отримали оновлений пакет Content Scanner Tools через керований процес оновлення Cisco.
Компанія виявила проблему під час внутрішнього сканування безпеки. Незважаючи на те, що присвячена порада була випущена 14 жовтня, Cisco вже випустила виправлені випуски AsyncOS 15.5.5-014 і 16.5.0-780 у рамках свого релізу з посилення безпеки від 14 вересня. Конкретна вразливість отримала свій власний CVE та пораду після того, як Cisco підтвердила експлуатацію в реальних умовах.
Це не перша активно експлуатована вразливість Secure Email Gateway, розкрита нещодавно. У вересні 2026 року Cisco виправила CVE-2026-76461, ще одну вразливість, що спрацьовує через обробку шкідливих електронних листів, що може призвести до виконання команд без автентифікації з правами root. Cisco не пов’язала обидві кампанії експлуатації.
Станом на момент написання, Cisco та згадані звіти не задокументували публічно підтверджений приклад експлуатації CVE-2026-76519. Однак активна експлуатація означає, що захисники повинні вважати вразливі пристрої під безпосередньою загрозою незалежно від того, чи стає доступним публічний код експлуатації.
Для виявлення експлуатації CVE-2026-76519 Cisco надає вбудовану перевірку безпеки, яку адміністратори можуть виконати відносно системних журналів пристрою. Організації також повинні перевірити телеметрії зовнішньої мережі та брандмауера, оскільки атакувачі з правами root можуть мати змогу видаляти або ховати докази безпосередньо на скомпрометованому шлюзі.
Зниження CVE-2026-76519
Cisco випустила виправлення і заявляє, що жодне обходження повністю не усуває вразливість. Організації, що працюють із вразливими розгортаннями Secure Email Gateway, повинні, отже, застосувати оновлений пакет Content Scanner Tools або перейти на виправлений випуск AsyncOS без затримки.
Перші виправлені випуски включають:
- AsyncOS 15.5: 15.5.5-014
- AsyncOS 16.0: перехід до виправленого випуску
- AsyncOS 16.5: 16.5.0-780
- Content Scanner Tools: 25.3.0.5525 або пізніше
Cisco рекомендує організаціям, що працюють на випусках AsyncOS раніших за 16.5, переходити на версію 16.5.0-780. Важливо, що оновлення Content Scanner Tools також може виправити підтримувані установки без потреби у оновленні AsyncOS або перезапуску пристрою.
Адміністратори можуть перевірити встановлений на даний момент пакет сканера, виконуючи contentscannerstatus з інтерфейсу CLI. Системи, що повідомляють про Content Scanner Tools раніше за 25.3.0.5525, залишатимуться вразливими, коли активна репутація файлів.
Клієнти, що увімкнули автоматичні оновлення Content Scanner Tools, повинні перевірити, чи версія 25.3.0.5525 або новіша дійсно була встановлена. Де автоматичні оновлення вимкнені, адміністратори можуть вручну запустити оновлення, використовуючи команду contentscannerupdate.
Для виявлення спроб експлуатації CVE-2026-76519 Cisco рекомендує переглядати system_logs для перевірки компрометації системи безпеки. Адміністратори можуть використовувати grep “System Security” системні журнали і повинні виконувати цю перевірку індивідуально на кожному пристрої Secure Email Gateway, що належить кластеру.
Запис у журналі, що вказує на System Security: Підозра на показник компрометації було знайдено, вказує на те, що виявлені артефакти компрометації, і організації повинні дотримуватися рекомендацій Cisco з реагування на інциденти та звернутися до TAC. Повідомлення, що перевірка безпеки не завершилася, також вимагає підвищення до TAC.
Ці повідомлення, надані Cisco, представляють основні опубліковані IOC-и CVE-2026-76519, доступні від постачальника. Однак чистий локальний сканер не може категорично виключити компрометацію, оскільки успішні атакувачі працюють з правами root і можуть видаляти або ховати докази.
Тому Cisco рекомендує переглядати брандмауер і мережеву телеметрію, зберігаючуся за межами пристрою, щодо підозрілої активності, включаючи несподівані завантаження, ініційовані шлюзом, незвичайні завантаження із зовнішньої інфраструктури та аномальні з’єднання, що включають потенційно шкідливі IP-адреси.
Реагування на інциденти відрізняється залежно від типу пристрою. Для фізичних пристроїв, що можуть бути скомпрометовані, Cisco рекомендує звертатися до TAC. Для віртуальних пристроїв захисники повинні зберігати судову інформацію перед внесенням змін, оскільки оновлення вже скомпрометованої системи може знищити відповідні журнали та артефакти.
Cisco рекомендує відновлювати скомпрометовані віртуальні пристрої, використовуючи випуск із виправленнями програмного забезпечення, а не просто оновлювати їх у тому ж місці. Адміністратори повинні реконструювати конфігурацію без імпортування попереднього файлу конфігурації та оновити облікові дані та криптографічні матеріали, що зберігаються на пристрої.
Організації, що використовують кластеризовані розгортання Secure Email Gateway, потребують особливої обережності. Члени кластера взаємно аутентифікуються, використовуючи пари ключів SSH, і компрометація на рівні root може розкрити приватні ключі, що використовуються для цього зв’язку. Атакувач, який отримає ці ключі, може потенційно розширити доступ до додаткових членів кластера.
Платформа AI-Native Detection Intelligence від SOC Prime може допомогти командам безпеки перетворити розвідку про нові активно експлуатовані вразливості в оперативну інформацію та прискорити пошук поведінкових загроз через електронну пошту, мережу, кінцеві точки та телеметрію інфраструктури.
FAQ
Що таке CVE-2026-76519 і як він працює?
CVE-2026-76519 – це критична відносна вразливість у функції обходу шляхів у Advanced Malware Protection Cisco Secure Email Gateway. Неавтентифікований атакувач може надіслати спеціально створене вкладення електронної пошти через вразливий пристрій, змушуючи записувати довільні файли до операційної системи і потенційно дозволяючи виконання команд з правами root.
Коли CVE-2026-76519 було вперше виявлено?
Cisco виявило вразливість через внутрішнє сканування безпеки, але компанія не розкрила точну дату виявлення. Виправлення вже були включені в релізи з посилення безпеки, опубліковані 14 вересня 2026 року. Cisco випустила присвячену пораду 14 жовтня після того, як PSIRT стало відомо про активну експлуатацію.
Який вплив CVE-2026-76519 на системи?
Успішна експлуатація може надавати неавтентифікованому віддаленому атакувачу виконання команд з рівнем прав root на Secure Email Gateway. Це може дозволяти модифікацію пристрою, крадіжку облікових записів або криптографічних ключів, збереження, маніпуляції функціями безпеки електронної пошти, видалення судових доказів і потенційного компромітаційного продовження підключених або кластеризованих систем.
Чи може CVE-2026-76519 все ще впливати на мене у 2026 році?
Так. Фізичні або віртуальні пристрої Cisco Secure Email Gateway залишаються вразливими, коли репутація файлів увімкнена та призначена політиці пошти, а їх версія Content Scanner Tools є старішою за 25.3.0.5525. Ризик є негайним, оскільки Cisco підтвердило активну експлуатацію, а CISA додала цю вразливість до свого каталогу KEV.
Як я можу захистити себе від CVE-2026-76519?
Оновіть до виправленого випуску AsyncOS або встановіть Content Scanner Tools версії 25.3.0.5525 або новіше. Перевірте оновлення, а не припускайте успіх автоматичної установки, виконайте перевірку компрометації системи безпеки, надану Cisco, і досліджуйте зовнішню мережеву телеметрію на наявність підозрілої активності. Якщо підозрюється компрометація, збережіть судові докази перед виправленням та дотримуйтесь останніх деталей Cisco для CVE-2026-76519.
