Цей матеріал згенеровано за допомогою штучного інтелекту та опубліковано без попередньої перевірки людиною. Він може містити помилки і не є професійною консультацією. Повідомити про проблему: info@delionsoft.com.
Компанія Cisco опублікувала попередження про критичну уразливість у AsyncOS для Secure Email Gateway, яку вже використовують зловмисники. Ця уразливість, що має номер CVE-2026-76461 та оцінку CVSS 9,8, дозволяє неавторизованому віддаленому зловмиснику виконати команди на рівні root шляхом надсилання спеціально сформованого повідомлення. Обхідного шляху немає: єдиним засобом захисту є оновлення до виправленої версії.
Що сталося
Згідно з оригінальним звітом, основною причиною є недостатня перевірка в логіці аналізу електронної пошти. Спеціально сформоване повідомлення, що містить шкідливі SQL-запити, може бути оброблене пристроєм, що призведе до виконання довільного SQL-коду, а відтак — до виконання команд з правами root у базовій операційній системі.
Уразливі як фізичні, так і віртуальні розгортання Secure Email Gateway, незалежно від конфігурації пристрою. Компанія Cisco заявляє, що Secure Email and Web Manager та Secure Web Appliance не уразливі. Виправлення доступні для версій 15.5 та раніше (15.5.5-0141), 16.0 (16.0.4-302) та 16.5 (16.5.0-780).
Cisco повідомляє, що дізналася про активне використання цієї уразливості цього місяця та зв’язалася з клієнтами, які використовують пристрої Secure Email Cloud, на яких було виявлено зловмисну активність. Масштаби атак не розголошуються. CISA додала цей CVE до свого каталогу відомих уразливостей, що експлуатуються, встановивши термін усунення до 17 вересня 2026 року для федеральних цивільних відомств США — це слугує корисним сигналом про терміновість для всіх інших.
Для виявлення в рекомендації пропонується переглянути mail_logs на наявність підозрілих SQL-запитів, перевірити кожен вузол, якщо пристрій є частиною кластера, та виконати пошук у журналах пошти за виразом COPY.*TO PROGRAM. Будь-яке збіг слід розглядати як можливу ознаку злому. Оскільки успішне використання уразливості надає права суперкористувача, Cisco попереджає, що докази на самому пристрої могли бути змінені або видалені, тому журнали ззовні пристрою мають більше значення, ніж власні записи самого пристрою.
У тому ж звіті зазначається окрема активність, що відбулася наприкінці серпня 2026 року: компанія Arctic Wolf зафіксувала дві хвилі масових атак на облікові дані, спрямованих проти підключених до Інтернету VPN-пристроїв Fortinet, під час яких використовувалися імена користувачів та корпоративні адреси, характерні для конкретних організацій, а не загальні списки, що вказує на попереднє виявлення облікових даних.
Чому це важливо
Поштовий шлюз розташований на периферії та призначений для прийому ненадійних вхідних даних від будь-кого. Це робить вразливість синтаксичного аналізу з доступом на рівні root майже найгіршим сценарієм: ніяких облікових даних, ніякої взаємодії з користувачем — лише повідомлення. У невеликих організаціях пристрій часто встановлюють один раз, а потім про нього тихо забувають до наступного поновлення технічної підтримки, тому затримка з встановленням виправлень зазвичай вимірюється місяцями.
Доступ з правами root до цього пристрою також означає доступ до пошти, що перебуває в процесі передачі, до вмісту, що зберігається в карантині, та до будь-яких облікових даних, налаштованих на ньому — це приваблива точка опори для подальшого проникнення, яку важко перевірити після того, як це сталося.
Що робити
- Проведіть інвентаризацію всіх екземплярів Secure Email Gateway, включаючи віртуальні пристрої та ті, що залишилися після міграцій, і оновлюйте їх до виправленої версії AsyncOS. Розглядайте це як позапланову зміну, а не як частину наступного квартального вікна оновлень.
- Виконайте перевірку журналів відповідно до рекомендацій у цьому повідомленні на кожному вузлі кластера, а потім зіставте результати з даними брандмауера, NetFlow та записів DNS, що зберігаються поза пристроєм: шукайте несподівані вихідні з’єднання або передачу файлів із шлюзу.
- Якщо ви виявите ознаки компрометації, вважайте, що пристрій є ненадійним — відновлюйте його з чистого образу та оновлюйте всі облікові дані та сертифікати, які на ньому зберігалися.
- Окремо перегляньте журнали аутентифікації VPN та віддаленого доступу на наявність сплесків помилок, пов’язаних із реальними іменами користувачів співробітників, та переконайтеся, що на цих шлюзах обов’язково застосовується багатофакторна автентифікація (MFA).