14 października Cisco opublikowało advisory dla CVE-2026-76519 w Secure Email Gateway (CVSS 9.8). Wystarczy, że nieuwierzytelniony atakujący wyśle przez bramkę wiadomość ze spreparowanym załącznikiem: błąd typu path traversal w funkcji AMP pozwala zapisać dowolne pliki i wykonać polecenia jako root. Cisco potwierdziło aktywną eksploatację, CISA dodała CVE do KEV tego samego dnia. To drugi wykorzystywany błąd tej bramki w ciągu miesiąca — po CVE-2026-76461.
25.3.0.5525.Attack path
Exposure zależy od dwóch faktów konfiguracyjnych
Wersja AsyncOS to za mało. Podatność wymaga, by File Reputation było włączone w polityce poczty i by Content Scanner Tools było starsze niż 25.3.0.5525. Cisco podaje, jak to sprawdzić: w GUI Mail Policies → Incoming/Outgoing Mail Policies → Advanced Malware Protection (czy zaznaczone jest „Enable File Reputation”), a w CLI polecenie contentscannerstatus (przykład wersji podatnej: 25.2.0.5427). Urządzenie bez File Reputation w żadnej polityce nie spełnia warunku — ale decyzję trzeba udokumentować wyciągiem z konfiguracji, nie deklaracją. Secure Email and Web Manager i Secure Web Appliance nie są podatne.
Remediation: dwie drogi
25.3.0.5525 lub nowszy — zawiera poprawkę i nie wymaga restartu.Część mediów podaje, że poprawione buildy były dostępne już we wrześniu, w ramach zbiorczego wydania utwardzającego. Advisory Cisco odsyła do „Security Hardening Release: September 2026”, ale nie opisuje tej relacji wprost — dlatego nie zamykaj findingu na podstawie „aktualizowaliśmy we wrześniu”. Zweryfikuj konkretny build AsyncOS i wersję Content Scanner Tools na każdym urządzeniu.
Compromise assessment jest częścią remediation
Przy root RCE z aktywną eksploatacją patch nie odpowiada na pytanie, czy bramka była już przejęta. Cisco podaje konkretne kroki: na każdym urządzeniu w klastrze uruchom grep "System Security" system_logs. „Suspected compromise indicator was found” albo „Security scan did not complete” — kontakt z TAC; „No compromise indicator was found” — aktualizacja. Ponieważ root pozwala ukryć ślady, Cisco zaleca też sprawdzenie logów sieci i firewalla pod kątem nieoczekiwanych połączeń wychodzących. Przy podejrzeniu kompromitacji maszyny wirtualnej: najpierw zabezpiecz dane, potem postaw nową VM na wersji z poprawką, odtwórz konfigurację bez importu starych plików i wymień poświadczenia oraz materiał kryptograficzny. W klastrze klucze SSH między członkami mogą być ujawnione, więc odtwarza się wszystkich członków klastra, w którym choć jedno urządzenie było przejęte.
Dwa exploity w miesiąc na tej samej bramce
We wrześniu CVE-2026-76461, teraz CVE-2026-76519 — obie nieuwierzytelnione, obie do roota, obie wykorzystywane. Dla VE to sygnał, że Secure Email Gateway jest celem aktywnych kampanii: warto potraktować go jako asset o podwyższonym priorytecie (krótsze SLA, monitoring ruchu wychodzącego, ograniczenie dostępu administracyjnego), a nie czekać na kolejne advisory. Podobny wzorzec — bramka pocztowa na brzegu, pre-auth, zapis plików — opisywałem przy FortiMail.
Powiązane na blogu
- Cisco SEG CVE-2026-76461 — poprzedni exploitowany błąd tej bramki (wrzesień)
- FortiMail CVE-2026-104286 — bramka pocztowa, KEV, zapis plików
Źródła
- Cisco Security Advisory — cisco-sa-esa-afw-zqYJkjxp (14.10.2026) — sec.cloudapps.cisco.com
- CISA Known Exploited Vulnerabilities Catalog — cisa.gov
- Help Net Security — CISA flags exploited flaws in Palo Alto, Cisco and Ahsay products (15.10.2026) — helpnetsecurity.com
Nota redakcyjna: stan informacji 15 października 2026, na podstawie advisory Cisco cisco-sa-esa-afw-zqYJkjxp (v1.0, 14.10.2026) i katalogu CISA KEV. Informacja o wcześniejszej dostępności buildów z września pochodzi ze źródeł wtórnych i nie jest potwierdzona w advisory. Artykuł nie zakłada kompromitacji każdego podatnego urządzenia.