Cisco подтвердила реальные взломы корпоративных почтовых шлюзов через критическую уязвимость, для эксплуатации которой достаточно отправить письмо с вредоносным вложением. Атакующий может без пароля получить права root и полностью захватить устройство, предназначенное для защиты электронной почты.
Проблема получила идентификатор CVE-2026-76519 и оценку 9,8 балла по шкале CVSS. Уязвимость затрагивает функцию Advanced Malware Protection (AMP) в Cisco Secure Email Gateway. Причиной стала неправильная обработка почтовых вложений при включённой службе проверки репутации файлов. Специально подготовленное вложение позволяет записывать произвольные файлы в операционную систему и выполнять команды с максимальными привилегиями.
Под угрозой находятся физические и виртуальные шлюзы с уязвимыми версиями AsyncOS, если служба File Reputation включена в почтовую политику, а версия Content Scanner Tools ниже 25.3.0.5525. Учётная запись злоумышленнику не требуется, как и какие-либо действия получателя письма. Продукты Secure Email and Web Manager и Secure Web Appliance уязвимости не подвержены.
Особую опасность представляет возможность скрыть последствия взлома. Получив root-доступ, атакующий способен изменять системные файлы и удалять следы присутствия. Cisco рекомендует проверять журнал system_logs командой grep "System Security" system_logs, а также изучать внешние сетевые журналы. Подозрение должны вызывать неожиданные передачи файлов на сторонние IP-адреса и загрузки с вредоносных серверов.
Компания уже обнаружила признаки вредоносной активности в инфраструктуре некоторых клиентов Cisco Secure Email Cloud и связалась с пострадавшими напрямую. Облачные шлюзы получили исправленный пакет Content Scanner Tools. Для локальных устройств доступны AsyncOS 15.5.5-014 и 16.5.0-780. Исправление также включено в Content Scanner Tools 25.3.0.5525 и новее, причём обновить компонент можно без перезагрузки устройства.
Если виртуальный шлюз уже взломан, простого обновления недостаточно. Cisco советует сначала сохранить данные для расследования, затем развернуть новую виртуальную машину и вручную восстановить настройки без импорта старой конфигурации. Потребуется заменить пароли, ключи и другие криптографические материалы. Компрометация SSH-ключей может угрожать остальным устройствам кластера.
В опубликованном 14 октября бюллетене безопасности Cisco подтвердила, что узнала об активных атаках в октябре 2026 года. Уязвимость обнаружили во время внутренней проверки безопасности. Компания не раскрывает число пострадавших организаций, личности злоумышленников и способы закрепления в скомпрометированных системах.
Для Cisco Secure Email Gateway нынешний инцидент далеко не первый. В сентябре компания уже закрывала уязвимость, позволявшую захватывать шлюзы через вредоносные SQL-команды в письмах. Ещё раньше, в январе 2026 года, Cisco устранила другую критическую проблему в AsyncOS, которую злоумышленники использовали для установки устойчивых бэкдоров.
