Cisco устранила уязвимость нулевого дня в Secure Email Gateway, позволяющую выполнять команды с правами root

Cisco устранила уязвимость CVE-2026-76519 в Secure Email Gateway

Cisco исправила уязвимость нулевого дня в своем продукте Secure Email Gateway (SEG). Уязвимость позволяет удаленным неаутентифицированным злоумышленникам выполнять команды с правами root. Уязвимость отслеживается под идентификатором CVE-2026-76519. Она связана с недостаточной обработкой вложений электронной почты в функции Advanced Malware Protection (AMP) продукта SEG. Злоумышленники могут использовать эту уязвимость, отправляя электронное письмо с вредоносным вложением на незащищенное устройство. Успешная эксплуатация позволяет злоумышленнику записывать произвольные файлы и выполнять команды с правами root в операционной системе. Cisco узнала об активной эксплуатации уязвимости в октябре 2026 года.

Secure Email Gateway распределяет почтовый трафик и сканирует вложения

Продукт Cisco Secure Email Gateway (SEG) предназначен для защиты электронной почты от угроз. Он обрабатывает входящий и исходящий почтовый трафик. Функция Advanced Malware Protection (AMP) в составе SEG сканирует вложения на наличие вредоносного ПО. Для работы этой функции требуется включить службу File Reputation и назначить ее почтовой политике. Уязвимость CVE-2026-76519 затрагивает экземпляры SEG, где эта служба включена, а версия Content Scanner Tools ниже 25.3.0.5525.

Уязвимость CVE-2026-76519 затрагивает локальные установки SEG

Уязвимость CVE-2026-76519 затрагивает локальные установки Cisco Secure Email Gateway (SEG). Облачные инсталляции продукта уже получили исправления. Для локальных установок администраторам необходимо проверить версию Content Scanner Tools. Проверить версию можно с помощью команды contentscannerstatus в командной строке. Также следует проверить настройки службы "Enable File Reputation" в разделе "Mail Policies > Incoming Mail Policies > Advanced Malware Protection" или "Mail Policies > Outgoing Mail Policies > Advanced Malware Protection" в веб-интерфейсе. Cisco не раскрывает подробности атак, использующих CVE-2026-76519, но предоставляет индикаторы компрометации (IOCs). Злоумышленники могут удалять следы эксплуатации после получения прав root. Cisco также предупреждает о необходимости проверки журналов межсетевых экранов и сетевой активности на предмет подозрительных действий. Ранее Cisco устранила другие уязвимости в SEG: CVE-2024-20401, CVE-2025-20393 и CVE-2026-76461.

Восстановите конфигурацию устройства и ограничьте доступ

Cisco рекомендует клиентам, затронутым уязвимостью CVE-2026-76519, восстановить безопасную конфигурацию устройства. Это включает обновление учетных данных и криптографических материалов. Также рекомендуется ограничить доступ к устройству и внедрить надежные механизмы контроля доступа. Cisco уже развернула средства защиты для облачных инсталляций. Компания связалась с владельцами облачных устройств Secure Email, где обнаружила признаки возможной компрометации. По данным Shadowserver, в интернете доступно около 300 экземпляров Cisco Secure Email Gateway. Агентство CISA включило 100 уязвимостей Cisco в каталог активно эксплуатируемых с ноября 2021 года.