Alertas de segurança
Cisco Secure Email Gateway: falha crítica (CVSS 9.8) já está sendo explorada
A CVE-2026-76519 permite que um remetente sem login grave arquivos no appliance e possa executar comandos como root. A Cisco confirma ataques ativos e não há workaround: só a atualização resolve.
A Cisco confirmou que atacantes já exploram a CVE-2026-76519, uma vulnerabilidade crítica (CVSS 9.8) no Cisco Secure Email Gateway. Quem usa o produto, físico ou virtual, deve verificar a versão hoje.
O que está acontecendo
Um remetente sem autenticação envia um e-mail com um anexo especialmente construído. A falha permite gravar arquivos no sistema operacional do appliance e, com isso, executar comandos como root.
A Cisco diz que os ataques estão ativos e que tomou conhecimento deles em outubro. O aviso não informa quantos dispositivos foram atacados, quem está por trás nem se houve obtenção de root. A correção, porém, já existia desde 14 de setembro.
Quem está exposto
O gateway só é vulnerável quando as duas condições abaixo acontecem juntas:
- o serviço File Reputation está habilitado e atribuído a uma mail policy;
- o Content Scanner Tools está em versão anterior à 25.3.0.5525.
Não são afetados o Secure Email and Web Manager nem o Secure Web Appliance.
O que fazer agora
Não existe workaround. A saída é atualizar:
| Versão do AsyncOS | Correção |
|---|---|
| 15.5 | 15.5.5-014 |
| 16.0 | Sem build corrigido: migrar para uma versão corrigida |
| 16.5 | 16.5.0-780 |
Se a atualização completa não puder ser feita hoje, atualize o Content Scanner Tools para a versão 25.3.0.5525 ou posterior. Ele pode ser instalado sem upgrade do sistema e sem reinício. Use contentscannerstatus para confirmar a versão e contentscannerupdate se precisar forçar a atualização.
Como saber se já houve comprometimento
Execute grep "System Security" system_logs no appliance. Há três resultados possíveis: indício de comprometimento, varredura não concluída (neste caso, acione o TAC da Cisco) ou nenhum indício.
Um resultado limpo não é prova de que o equipamento está seguro. Revise também os logs de firewall e de rede.
Se o appliance for virtual e estiver comprometido:
- preserve as evidências antes de atualizar;
- implante uma nova VM já em versão corrigida;
- reconfigure sem importar o arquivo de configuração antigo;
- renove credenciais e material criptográfico;
- em cluster, restaure todos os membros.
Contexto
Em 14 de setembro, a Cisco divulgou a CVE-2026-76461, uma SQL injection no parsing de e-mails que também foi explorada e entrou no catálogo KEV da CISA. A Cisco confirmou que duas falhas desse conjunto estão sob ataque: a SQL injection de setembro e esta, de escrita de arquivos. Segundo a cobertura do The Hacker News, é a terceira falha de execução como root confirmada como explorada em produtos desse tipo desde dezembro.
Como a Indene pode ajudar
Se você não tem certeza de qual versão do AsyncOS ou do Content Scanner Tools está em produção, ou precisa de apoio para investigar um possível comprometimento, fale com o nosso time. [a confirmar: canal de contato e CTA padrão da casa]
Fontes: aviso da Cisco; cobertura do The Hacker News.