14 жовтня 2026 року Cisco попередила, що зловмисники вже використовують критичну вразливість CVE-2026-76519 (CVSS 9.8) у поштових шлюзах Cisco Secure Email Gateway. Щоб атакувати пристрій, не потрібно ні пароля, ні доступу до мережі. Досить надіслати на адресу організації лист зі спеціально підготовленим вкладенням. Під загрозою поштові шлюзи Cisco, через які проходить уся вхідна пошта організації.

Що відомо про вразливість

  1. Як працює атака. Шлюз перевіряє вкладення у вхідних листах. Шкідливе вкладення дозволяє записати файли в операційну систему пристрою, а потім виконувати команди з правами root, тобто з повним контролем.
  2. Які пристрої під загрозою. Фізичні та віртуальні шлюзи Cisco Secure Email Gateway на AsyncOS, якщо одночасно виконуються дві умови:
    • увімкнена функція File Reputation і вона прив’язана до поштової політики;
    • версія пакета Content Scanner Tools нижча за 25.3.0.5525.
  3. Атаки вже тривають. Cisco знайшла вразливість під час власної перевірки безпеки, а в жовтні помітила її використання зловмисниками. Скільки пристроїв постраждало, компанія не повідомляє.
  4. Обхідних рішень немає. Захищає лише оновлення.
  5. Не вразливі: Cisco Secure Email and Web Manager, Secure Web Appliance і хмарні шлюзи Secure Email Cloud, якими керує Cisco.

Як захистити поштові шлюзи Cisco

  • Оновити Content Scanner Tools до версії 25.3.0.5525 або новішої. Пакет оновлюється без перезавантаження шлюзу. Можна також увімкнути автоматичні оновлення сервісів.
  • Оновити AsyncOS:
    • гілка 15.5 — до версії 15.5.5-014;
    • гілка 16.5 — до версії 16.5.0-780;
    • для гілки 16.0 виправленої збірки немає, потрібен перехід на виправлений реліз. Збірка 16.0.4-302 цю вразливість не закриває.

Якщо шлюз уже могли зламати

Cisco радить перевірити системні журнали на кожному пристрої кластера на ознаки компрометації. Чистий результат перевірки ще не гарантує безпеку, тому варто переглянути й журнали мережевого обладнання на предмет підозрілих з’єднань.

Важливо: оновлення знищує журнали на зламаному пристрої, тому спершу треба зберегти дані для розслідування. Віртуальні шлюзи Cisco радить розгорнути заново на виправленій версії, без імпорту старої конфігурації, і замінити всі облікові дані та ключі. Якщо в кластері зламано хоч один пристрій, відновлювати треба всі.

Чому це важливо

Поштовий шлюз — перший рубіж захисту пошти: через нього проходить кожен вхідний лист організації. Захоплений шлюз дає зловмиснику змогу читати й підміняти листування, розсилати фішинг від імені компанії та проникати глибше в мережу.

Це вже друга активно використовувана вразливість у цих шлюзах за місяць. У вересні Cisco закрила SQL-ін’єкцію CVE-2026-76461, яку також використовували в атаках.

Читайте також: Cisco випустила критичне оновлення для міжмережевих екранів: дві вразливості вже використовують в атаках; Microsoft випустила позачергове оновлення Exchange Server: вразливість дозволяє читати чужу пошту; CISA додала до каталогу KEV п’ять старих вразливостей: чому застаріле ПЗ стає головною ціллю атак.

Як «Спецбайт» допоможе захистити пошту

«Спецбайт» — партнер Cisco, який має досвід державної експертизи ТЗІ для обладнання Cisco.

  • Термінова перевірка шлюзів. Перевіряємо версії AsyncOS і Content Scanner Tools, налаштування File Reputation та ознаки компрометації.
  • Безпечне оновлення. Зберігаємо журнали для розслідування, оновлюємо або переносимо шлюз на виправлену версію, а за потреби розгортаємо його заново.
  • Технічна підтримка з SLA. Стежимо за бюлетенями безпеки Cisco і встановлюємо критичні оновлення вчасно.
  • Аудит інформаційної безпеки. Оцінюємо захищеність поштової інфраструктури та мережевого периметра в цілому.
  • IT-консалтинг та кібербезпека. Підбираємо й впроваджуємо рішення для захисту пошти та робочих станцій.

Використовуєте Cisco Secure Email Gateway? Не чекайте наступного листа зі шкідливим вкладенням. Зверніться до «Спецбайт», і ми перевіримо та оновимо ваші поштові шлюзи.