Cisco издаде спешно предупреждение относно активно експлоатирана zero-day уязвимост в устройствата Secure Email Gateway, която позволява на отдалечени, неудостоверени нападатели да изпълняват произволни команди с най-високи root привилегии.

Проследяван като CVE-2026-76461, дефектът произтича от сериозен проблем при синтактичния анализ в софтуера Cisco AsyncOS, позволяващ на атакуващите да компрометират както физически, така и виртуални инсталации само чрез препращане на специално създадено имейл съобщение през уязвим шлюз.

Дефектът в сигурността се намира в логиката за синтактичен анализ на имейли в AsyncOS, където недостатъчната проверка на входните данни позволява на авторите на заплахата да вграждат зловредни SQL заявки директно във входящия зловреден код на имейлите. При получаване и обработка от устройството, тези манипулирани заявки се изпълняват без валидация, задействайки вектор за инжектиране на команди, който ескалира директно до пълен root достъп до операционната система.

Тъй като дефектът може да бъде задействан дистанционно без предварителни идентификационни данни или сложна мрежова подготовка, той представлява съществен риск от превземане на периметъра на организацията, корпоративен шпионаж и незабележимо трайно установяване в цялата вътрешна инфраструктура.

Експлоатирана уязвимост в Cisco Secure Email Gateway

Екипът на Cisco за реагиране при инциденти, свързани със сигурността на продуктите (PSIRT), потвърди, че атакуващите са превърнали този дефект в активно оръжие през септември 2026 г.

Уязвимостта е открита по време на разследване на вътрешен казус от центъра за техническа помощ на Cisco (TAC), който впоследствие разкри активни прониквания в корпоративни устройства и инстанции, хоствани в Cisco Secure Email Cloud.

Докато Cisco уведоми засегнатите облачни потребители и внедри мерки за отстраняване на уязвимостта в управляваните си облачни среди, системните администратори на локални инсталации носят пълна отговорност за инсталирането на корекции за сигурност, за да защитят своите организации.

Разследването на предполагаеми прониквания създава сериозни оперативни затруднения поради обширните привилегии, придобити при компрометирането. Cisco съветва екипите по сигурност да проверят своите текстови имейл логове за аномалии, като специално търсят подозрителен синтаксис на базата данни чрез команди като grep -i "COPY.*TO PROGRAM" mail_logs във всички клъстеризирани възли.

Въпреки това, тъй като атакуващите с root достъп могат безпроблемно да изтриват локални регистрационни файлове, да подправят одитните следи и да манипулират работещи процеси, вътрешният криминалистичен анализ може да се окаже недостатъчен.

Екипите за реагиране на инциденти трябва да направят кръстосана проверка на трафика през периметърните защитни стени и изходящата мрежова телеметрия, за да открият неочаквани външни връзки, необичайно източване на данни или изтегляне на зловреден код от втори етап.

Тъй като няма практически алтернативни решения за заобикаляне на CVE-2026-76461, незабавното инсталиране на корекции за сигурност е наложително. Cisco отстрани уязвимостта в обновленията на AsyncOS, като определи версия 16.5.0-780 като основна целева компилация, заедно с по-ранни клонове на версии, включително 16.0.4-3021 и 15.5.5-0141.

За администратори, управляващи локални виртуални инстанции на шлюза, които показват признаци на предишна експлоатация, Cisco силно препоръчва запазване на криминалистични моментни копия (снапшоти) на оперативната памет, унищожаване на подозрителните виртуални машини и изграждане на чисти конфигурации от нулата, заедно с подмяна на всички идентификационни данни на устройството и вътрешни сертификати.

Освен внедряването на незабавни софтуерни обновления, организациите трябва да укрепят архитектурата на своите шлюзове, за да сведат до минимум бъдещата уязвимост. Администраторите трябва да изолират маршрутизирането на пощата от интерфейсите за управление, да ограничат достъпа до административния портал до проверени вътрешни бастионни хостове и да разположат всички устройства за сигурност на електронната поща зад надеждни, двуслойни филтриращи защитни стени, за да спрат опитите за неудостоверено изпълнение на команди на периметъра.