Cisco закърпи нулев ден: root с един имейл

На 14 октомври Cisco публикува спешен бюлетин за уязвимост в Secure Email Gateway, която вече се използва в реални атаки. CVE-2026-76519 носи оценка 9.8 по CVSS и позволява на неудостоверен нападател да изпълни команди като root върху самия имейл шлюз — като прати обикновен имейл с подходящо подготвен прикачен файл. Няма заобиколно решение, остава само обновяване.

Какво точно се чупи

Дупката е в Advanced Malware Protection, по-конкретно в услугата File Reputation, която проверява прикачените файлове. Cisco я класифицира като CWE-23 — относително обхождане на пътища. При неправилна обработка на прикачените файлове нападателят може да запише произволен файл където реши във файловата система на устройството, а оттам да стигне до изпълнение на команди с root права.

Ключовото е, че атаката не иска нито потребителско име, нито взаимодействие от жертвата. CVSS векторът е AV:N/AC:L/PR:N/UI:N — през мрежата, с ниска сложност, без привилегии и без човешко участие. Шлюзът сам отваря капана, защото работата му е да сканира пощата.

Засегнати са както физическите, така и виртуалните шлюзове, но само когато са изпълнени едновременно две условия: File Reputation да е включена в политиката за поща и Content Scanner Tools да е по-стар от версия 25.3.0.5525. Secure Email and Web Manager и Secure Web Appliance не са засегнати.

Кои версии са поправени

AsyncOS 15.5  →  15.5.5-014
AsyncOS 16.0  →  няма поправка, нужна е миграция
AsyncOS 16.5  →  16.5.0-780
Content Scanner Tools (всички) → 25.3.0.5525 или по-нова

Най-бързият път минава през Content Scanner Tools: обновяването до 25.3.0.5525 затваря дупката и не изисква рестарт на устройството. Ако сте на клон 16.0, поправена версия просто няма — Cisco очаква миграция към 16.5.

За клиентите на управляваната услуга Secure Email Cloud компанията твърди, че сама е приложила корекциите върху облачните инстанции и се е свързала с потърпевшите.

Снимка: Cisco

Кой атакува и колко устройства са засегнати

Тук отговорите са оскъдни. Cisco PSIRT казва само, че през октомври 2026 е научил за активна експлоатация, и че става дума за „ограничен брой клиенти“. Нито атрибуция към конкретна група, нито брой компрометирани устройства, нито цели на нападателите — The Register пише, че компанията е отказала да уточни и трите.

Единствената външна мярка за мащаба идва от Shadowserver, която според BleepingComputer вижда около 300 инстанции на Secure Email Gateway, достъпни от интернет. Числото звучи малко, но тези устройства стоят на входа на корпоративната поща — един превзет шлюз означава поглед върху цялата кореспонденция на организацията.

Американската CISA вече вписа уязвимостта в каталога си за експлоатирани дупки, а федералните агенции имат срок до събота да обновят.

Трети root пробив в шлюза за една година

Това не е изолиран случай. CVE-2026-76461 — пробив при разбора на имейли, също експлоатиран — беше закърпен едва през септември 2026. По-рано тази година пък се оказа, че CVE-2025-20393 с максималната оценка 10.0, засягащ карантината за спам в AsyncOS, е бил използван в атаки месеци преди да излезе поправка. Преди това, през юли 2024, CVE-2024-20401 отново даваше root през зловреден прикачен файл.

Четири пъти един и същ сценарий: устройството, което трябва да спира опасните писма, се превръща в входна врата. Част от причината е архитектурна — имейл шлюзът по дефиниция разпакетира и анализира непознато съдържание от непознати изпращачи, което е най-враждебната възможна работна среда.

Заключение

Нулев ден с оценка 9.8, който се задейства с един имейл и не иска нищо от жертвата, е горе-долу най-лошият възможен сценарий за гранично устройство. Добрата новина е, че поправката е тривиална: обновяване на Content Scanner Tools без рестарт. Лошата е, че ако сте на AsyncOS 16.0, ви чака миграция под напрежение.

Моделът е познат — през последните седмици видяхме и рекорден Patch Tuesday с 1411 уязвимости, и пробив с CVSS 10.0 в GitLab. Инфраструктурните устройства и платформи остават най-привлекателната цел, защото един успешен удар отваря всичко останало.