Acest conținut a fost generat cu ajutorul inteligenței artificiale și publicat fără o verificare umană prealabilă. Poate conține erori și nu constituie consultanță profesională. Semnalați o problemă: info@delionsoft.com.
Cisco a publicat un aviz privind o vulnerabilitate critică în AsyncOS pentru Secure Email Gateway, care este deja exploatată. Înregistrată sub numărul CVE-2026-76461, cu un scor CVSS de 9,8, aceasta permite unui atacator la distanță neautentificat să execute comenzi la nivel de root prin trimiterea unui mesaj special conceput. Nu există nicio soluție provizorie: singura remediere este actualizarea la o versiune corectată.
Ce s-a întâmplat
Conform raportului inițial, cauza principală este validarea insuficientă în logica de analiză a e-mailurilor. Un mesaj special creat, care conține instrucțiuni SQL rău intenționate, poate fi procesat de dispozitiv, ceea ce duce la executarea arbitrară a instrucțiunilor SQL și, de acolo, la executarea de comenzi cu drepturi de root pe sistemul de operare subiacent.
Sunt afectate atât implementările fizice, cât și cele virtuale ale Secure Email Gateway, indiferent de configurația dispozitivului. Cisco precizează că Secure Email și Web Manager, precum și Secure Web Appliance nu sunt afectate. Sunt disponibile remedieri pentru versiunile 15.5 și anterioare (15.5.5-0141), 16.0 (16.0.4-302) și 16.5 (16.5.0-780).
Cisco afirmă că a aflat despre exploatarea activă a acestei vulnerabilități în această lună și a contactat clienții care utilizează dispozitive Secure Email Cloud la care s-au observat activități rău intenționate. Amploarea atacurilor nu a fost dezvăluită. CISA a adăugat CVE-ul în catalogul său de vulnerabilități exploatate cunoscute, cu un termen limită de remediere stabilit la 17 septembrie 2026 pentru agențiile civile federale din SUA — un semnal util de urgență pentru toți ceilalți.
Pentru detectare, avizul sugerează verificarea fișierelor mail_logs în căutarea unor instrucțiuni SQL suspecte, verificarea fiecărui nod în cazul în care dispozitivul face parte dintr-un cluster și căutarea în jurnalele de e-mail a expresiei COPY.*TO PROGRAM. Orice potrivire trebuie tratată ca un posibil semn de compromitere. Deoarece exploatarea reușită oferă acces root, Cisco avertizează că probele de pe dispozitiv ar fi putut fi modificate sau șterse, astfel încât jurnalele din afara dispozitivului sunt mai importante decât propriile înregistrări ale acestuia.
Același raport menționează o activitate separată de la sfârșitul lunii august 2026: Arctic Wolf a observat atacuri de volum mare asupra credențialelor împotriva dispozitivelor VPN Fortinet conectate la internet, desfășurate în două valuri, folosind nume de utilizator specifice organizației și adrese corporative în loc de liste generice, ceea ce sugerează o enumerare prealabilă a identităților.
De ce este important
Un gateway de e-mail se află la marginea rețelei și este conceput să accepte date de intrare neîncredibile de la oricine. Acest lucru face ca o vulnerabilitate de analiză cu impact la nivel de root să se apropie de cel mai rău scenariu: fără date de autentificare, fără interacțiune din partea utilizatorului, doar un mesaj. În cazul organizațiilor mai mici, dispozitivul este adesea instalat o singură dată și apoi uitat în liniște între reînnoirile contractelor de asistență, astfel încât întârzierea aplicării patch-urilor tinde să fie măsurată în luni.
Accesul de root la acel dispozitiv înseamnă, de asemenea, acces la e-mailurile în tranzit, la conținutul stocat în carantină și la orice date de autentificare configurate pe acesta — un punct de sprijin atractiv pentru avansarea în rețea și greu de verificat ulterior.
Ce trebuie făcut
- Inventariați fiecare instanță de Secure Email Gateway, inclusiv dispozitivele virtuale și orice rămășițe de la migrări, și actualizați la versiunea AsyncOS remediată. Tratați acest lucru ca o modificare în afara programului obișnuit, nu ca parte a următoarei ferestre trimestriale.
- Rulați verificările jurnalelor indicate în aviz pe fiecare membru al clusterului, apoi corelați rezultatele cu înregistrările din firewall, NetFlow și DNS stocate în afara dispozitivului: căutați conexiuni de ieșire neașteptate sau transferuri de fișiere provenite de la gateway.
- Dacă găsiți indicii de compromitere, considerați că dispozitivul nu este de încredere — reconstruiți-l pornind de la o imagine curată și înlocuiți toate datele de autentificare și certificatele pe care le deținea.
- În mod separat, verificați jurnalele de autentificare VPN și de acces la distanță pentru a identifica valuri de eșecuri asociate cu numele de utilizator reale ale angajaților și asigurați-vă că autentificarea multifactorială (MFA) este aplicată pe acele gateway-uri.