14 жовтня 2026 року Cisco попередила, що зловмисники вже використовують критичну вразливість CVE-2026-76519 (CVSS 9.8) у поштових шлюзах Cisco Secure Email Gateway. Щоб атакувати пристрій, не потрібно ні пароля, ні доступу до мережі. Досить надіслати на адресу організації лист зі спеціально підготовленим вкладенням.
Що відомо про вразливість
- Як працює атака. Шлюз перевіряє вкладення у вхідних листах. Шкідливе вкладення дозволяє записати файли в операційну систему пристрою, а потім виконувати команди з правами root, тобто з повним контролем.
- Які пристрої під загрозою. Фізичні та віртуальні шлюзи Cisco Secure Email Gateway на AsyncOS, якщо одночасно виконуються дві умови:
- увімкнена функція File Reputation і вона прив’язана до поштової політики;
- версія пакета Content Scanner Tools нижча за 25.3.0.5525.
- Атаки вже тривають. Cisco знайшла вразливість під час власної перевірки безпеки, а в жовтні помітила її використання зловмисниками. Скільки пристроїв постраждало, компанія не повідомляє.
- Обхідних рішень немає. Захищає лише оновлення.
- Не вразливі: Cisco Secure Email and Web Manager, Secure Web Appliance і хмарні шлюзи Secure Email Cloud, якими керує Cisco.
Як усунути вразливість
- Оновити Content Scanner Tools до версії 25.3.0.5525 або новішої. Пакет оновлюється без перезавантаження шлюзу. Можна також увімкнути автоматичні оновлення сервісів.
- Оновити AsyncOS:
- гілка 15.5 — до версії 15.5.5-014;
- гілка 16.5 — до версії 16.5.0-780;
- для гілки 16.0 виправленої збірки немає, потрібен перехід на виправлений реліз. Збірка 16.0.4-302 цю вразливість не закриває.
Якщо шлюз уже могли зламати
Cisco радить перевірити системні журнали на кожному пристрої кластера на ознаки компрометації. Чистий результат перевірки ще не гарантує безпеку, тому варто переглянути й журнали мережевого обладнання на предмет підозрілих з’єднань.
Важливо: оновлення знищує журнали на зламаному пристрої, тому спершу треба зберегти дані для розслідування. Віртуальні шлюзи Cisco радить розгорнути заново на виправленій версії, без імпорту старої конфігурації, і замінити всі облікові дані та ключі. Якщо в кластері зламано хоч один пристрій, відновлювати треба всі.
Чому це важливо
Поштовий шлюз — перший рубіж захисту пошти: через нього проходить кожен вхідний лист організації. Захоплений шлюз дає зловмиснику змогу читати й підміняти листування, розсилати фішинг від імені компанії та проникати глибше в мережу.
Це вже друга активно використовувана вразливість у цих шлюзах за місяць. У вересні Cisco закрила SQL-ін’єкцію CVE-2026-76461, яку також використовували в атаках.
Як «Спецбайт» допоможе захистити пошту
«Спецбайт» — партнер Cisco, який має досвід державної експертизи ТЗІ для обладнання Cisco.
- Термінова перевірка шлюзів. Перевіряємо версії AsyncOS і Content Scanner Tools, налаштування File Reputation та ознаки компрометації.
- Безпечне оновлення. Зберігаємо журнали для розслідування, оновлюємо або переносимо шлюз на виправлену версію, а за потреби розгортаємо його заново.
- Технічна підтримка з SLA. Стежимо за бюлетенями безпеки Cisco і встановлюємо критичні оновлення вчасно.
- Аудит інформаційної безпеки. Оцінюємо захищеність поштової інфраструктури та мережевого периметра в цілому.
- IT-консалтинг та кібербезпека. Підбираємо й впроваджуємо рішення для захисту пошти та робочих станцій.
Використовуєте Cisco Secure Email Gateway? Не чекайте наступного листа зі шкідливим вкладенням. Зверніться до «Спецбайт», і ми перевіримо та оновимо ваші поштові шлюзи.