Cisco предупредила об эксплуатации критической уязвимости в Secure Email Gateway
Ошибка в AsyncOS позволяет удалённому неаутентифицированному атакующему выполнить команды с правами root, отправив специально сформированное письмо. Исправление доступно для затронутых веток ПО; иных способов защиты Cisco не предлагает.
Cisco сообщила об активной эксплуатации уязвимости CVE-2026-76461 в AsyncOS для шлюзов Cisco Secure Email Gateway. По данным компании, недостаточная проверка данных при разборе электронной почты позволяет удалённому атакующему без аутентификации выполнить произвольные команды в базовой операционной системе с правами root.
Для атаки необходимо отправить на уязвимое устройство специально подготовленное письмо с вредоносными SQL-инструкциями. Успешная эксплуатация даёт возможность выполнить произвольные SQL-запросы, что затем приводит к запуску команд с максимальными правами в системе.
Проблема затрагивает физические и виртуальные устройства Cisco Secure Email Gateway вне зависимости от их конфигурации. Cisco уточняет, что Secure Email and Web Manager и Secure Web Appliance этой уязвимости не подвержены.
Компания выпустила исправления для веток AsyncOS 15.5 и более ранних — в версии 15.5.5-0141, для 16.0 — в 16.0.4-302, а для 16.5 — в 16.5.0-780. Обходных мер нет: администраторам рекомендуется обновить ПО до последней поддерживаемой версии.
Cisco советует проверить журналы обработки почты, в том числе на SQL-конструкции вида «COPY ... TO PROGRAM». Если шлюзы объединены в кластер, логи следует просмотреть на каждом узле. Компания также предупреждает, что злоумышленник с root-доступом способен удалить или скрыть следы вторжения, поэтому проверку стоит дополнить анализом сетевых журналов и логов межсетевого экрана за пределами скомпрометированного устройства — в частности, на предмет неожиданных передач данных на внешние IP-адреса.
Как сообщает The Hacker News, Агентство США по кибербезопасности и защите инфраструктуры (CISA) внесло CVE-2026-76461 в каталог известных эксплуатируемых уязвимостей. Федеральным гражданским ведомствам США предписано установить обновления до 17 сентября 2026 года.