Luka w Cisco Secure Email Gateway zalega na liście CISA

Krytyczna luka w Cisco Secure Email Gateway przekroczyła już termin wyznaczony przez amerykańskie władze na jej załatanie. CVE-2026-76461 to podatność typu SQL injection w oprogramowaniu AsyncOS, na którym działa brama, a amerykańska Agencja ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA) dodała ją do katalogu znanych wykorzystywanych luk 14 września 2026 r. — tego samego dnia, w którym ujawnił ją Cisco — ponieważ atakujący wykorzystywali ją jeszcze przed opublikowaniem ostrzeżenia. Federalny termin naprawy wyznaczono na 17 września; już minął.

Dlaczego ta luka nie wymaga logowania

Luka tkwi w sposobie, w jaki AsyncOS analizuje przychodzące wiadomości e-mail. Zdalny atakujący bez poświadczeń może ją wywołać, po prostu wysyłając specjalnie spreparowaną wiadomość przez podatną bramę — normalne przetwarzanie poczty przez urządzenie jest powierzchnią ataku. Udane wykorzystanie prowadzi do dowolnego wykonywania zapytań SQL, a następnie do wykonywania poleceń z uprawnieniami root na systemie bazowym. Dotyczy to zarówno urządzeń fizycznych, jak i wirtualnych, lokalnych i hostowanych w chmurze; Cisco zaktualizowało już każde urządzenie Secure Email Cloud do poprawionej wersji i osobno skontaktowało się z klientami chmurowymi, których bramy wykazywały oznaki złośliwej aktywności. Secure Email and Web Manager oraz Secure Web Appliance nie są objęte problemem.

Ścieżka aktualizacji i wykrywanie

Poprawione wydania Cisco to AsyncOS 15.5.5-0141, 16.0.4-3021 i 16.5.0-780, przy czym Cisco rekomenduje w szczególności linię 16.5.0-780 — kompilacja 16.0.4-3021 zamyka ten błąd, ale nie cztery inne krytyczne problemy opisane w towarzyszącym ostrzeżeniu o wzmacnianiu zabezpieczeń. Ponieważ przejęta brama może pozwolić atakującemu zatrzeć własne ślady, obrońcy nie powinni polegać wyłącznie na dziennikach na urządzeniu; korelacja z zewnętrzną telemetrią z zapory sieciowej i sieci daje bardziej wiarygodny obraz. Cisco i zewnętrzni badacze wskazują dzienniki poczty bramy jako punkt wyjścia, szukając instrukcji SQL, które nigdy nie powinny pojawić się w normalnym przetwarzaniu wiadomości.

Co zrobić teraz

Każde urządzenie Secure Email Gateway, które nadal działa na niezałatanej wersji AsyncOS, jest narażone na nieuwierzytelnione przejęcie wywołane jedną spreparowaną wiadomością e-mail — między atakującym a luką nie ma żadnego ekranu logowania. Zinwentaryzuj wszystkie bramy w zarządzanych środowiskach, wgraj wersję 16.5.0-780 (lub równoważną poprawkę dla danej linii) i przejrzyj dzienniki poczty pod kątem śladów wcześniejszego wykorzystania, zanim uznasz urządzenie za czyste.

Źródła: Rapid7, SecurityWeek, CISA.