Une faille de la passerelle email Cisco est en retard sur la liste des failles exploitées

Une faille critique dans la Secure Email Gateway de Cisco a maintenant dépassé la date limite fixée par les autorités américaines pour la corriger. CVE-2026-76461 est une vulnérabilité d'injection SQL dans le logiciel AsyncOS qui fait fonctionner la passerelle, et l'Agence américaine de cybersécurité et de sécurité des infrastructures l'a ajoutée à son catalogue des vulnérabilités connues exploitées le 14 septembre 2026 — le même jour où Cisco l'a divulguée — car des attaquants l'exploitait déjà avant l'existence de l'avis. La date limite fédérale de correction était le 17 septembre ; elle est passée.

Pourquoi celle-ci ne nécessite aucune connexion

La vulnérabilité se trouve dans la façon dont AsyncOS analyse les emails entrants. Un attaquant distant sans identifiants peut la déclencher simplement en envoyant un email spécialement conçu via une passerelle vulnérable — le travail normal de l'appliance qui traite le courrier constitue la surface d'attaque. Une exploitation réussie conduit à une exécution SQL arbitraire et, à partir de là, à une exécution de commandes avec des privilèges root sur le système sous-jacent. Elle affecte les appliances physiques et virtuelles, sur site et hébergées dans le cloud ; Cisco a déjà mis à niveau chaque appareil Secure Email Cloud vers une version corrigée et a contacté séparément les clients cloud dont les passerelles présentaient des signes d'activité malveillante. Secure Email and Web Manager et Secure Web Appliance ne sont pas affectés.

Chemin de correctif et détection

Les versions corrigées de Cisco sont AsyncOS 15.5.5-0141, 16.0.4-3021 et 16.5.0-780, Cisco recommandant spécifiquement la ligne 16.5.0-780 — la version 16.0.4-3021 corrige ce bogue mais pas quatre autres problèmes critiques couverts dans un avis de durcissement compagnon. Comme une passerelle compromise peut permettre à un attaquant d'effacer ses propres traces, les défenseurs ne doivent pas se fier uniquement aux journaux sur l'appliance ; la corrélation avec la télémétrie externe des pare-feu et du réseau donne une image plus fiable. Cisco et des chercheurs externes pointent les journaux de messagerie de la passerelle comme point de départ, à la recherche d'instructions SQL qui ne devraient jamais apparaître dans le traitement normal des messages.

Que faire maintenant

Toute appliance Secure Email Gateway encore sur une version AsyncOS non corrigée est exposée à une compromission non authentifiée déclenchée par un seul email spécialement conçu — aucun écran de connexion ne se trouve entre un attaquant et la faille. Inventoriez chaque passerelle dans les environnements gérés, appliquez la version 16.5.0-780 (ou le correctif équivalent pour une branche donnée), et examinez les journaux de messagerie pour détecter des signes d'exploitation antérieure avant de considérer l'appliance comme propre.

Sources : Rapid7, SecurityWeek, CISA.