Cisco a divulgué une vulnérabilité activement exploitée dans Cisco Secure Email Gateway (SEG) qui peut permettre à un attaquant distant, non authentifié, d'exécuter des commandes avec les privilèges root.
Cisco classe CVE-2026-76519 comme critique. La vulnérabilité affiche un score CVSS v3.1 de 9.8 et le vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
Bleeping Computer a signalé le 14 octobre 2026 que le PSIRT de Cisco avait eu connaissance d'une exploitation active en octobre. Cisco n'a pas attribué cette activité à un acteur de la menace et n'a pas communiqué son ampleur. Les informations disponibles ne permettent pas non plus d'établir combien de systèmes ont été effectivement compromis.
Quels systèmes Cisco sont exposés
La faille se situe dans la fonctionnalité Advanced Malware Protection de Cisco Secure Email Gateway et est classée comme un problème de traversée de chemin relatif, CWE-23.
Selon l'avis du PSIRT de Cisco, les appliances SEG physiques et virtuelles sont vulnérables uniquement si toutes les conditions suivantes sont réunies :
- L'appliance fonctionne avec une version vulnérable d'AsyncOS de Cisco.
- File Reputation, qui fait partie de Cisco AMP, est activé et affecté à une politique de messagerie.
- Content Scanner Tools est antérieur à 25.3.0.5525.
Cisco cite Content Scanner Tools 25.2.0.5427 comme exemple de version vulnérable.
Cisco Secure Email and Web Manager et Cisco Secure Web Appliance ne sont pas affectés par CVE-2026-76519.
Selon Bleeping Computer, Shadowserver suivait près de 300 instances de SEG exposées sur Internet. Ce chiffre ne correspond pas au nombre d'appliances vulnérables ou compromises et peut inclure des systèmes sécurisés ou des pots de miel.
Une pièce jointe forgée peut atteindre le système d'exploitation sous-jacent
CVE-2026-76519 résulte d'une gestion inappropriée des pièces jointes de messagerie lorsque File Reputation est actif. Un attaquant peut l'exploiter en envoyant une pièce jointe spécialement construite via une passerelle affectée.
L'exploitation réussie permet des écritures de fichiers arbitraires sur le système d'exploitation sous-jacent. Ces écritures peuvent ensuite mener à l'exécution de commandes en tant que root, ce qui donne à l'attaquant le niveau de contrôle le plus élevé sur l'appliance.
L'attaque ne nécessite ni authentification ni interaction de l'utilisateur. Toutefois, l'exploitation dépend de la configuration de traitement des messages concernée et de la version vulnérable de Content Scanner Tools.
Les administrateurs peuvent vérifier si File Reputation est activé sous :
Mail Policies > Incoming Mail Policies > Advanced Malware Protection
ou :
Mail Policies > Outgoing Mail Policies > Advanced Malware Protection
Après avoir sélectionné une politique de messagerie, consultez Enable File Reputation.
La version installée de Content Scanner Tools peut être vérifiée en ligne de commande avec :
contentscannerstatus
Une installation corrigée doit afficher la version 25.3.0.5525 ou ultérieure.
Versions corrigées et migrations requises
Cisco indique qu'il n'existe aucun contournement. Les administrateurs doivent installer une version corrigée ou migrer lorsque la branche actuelle ne reçoit pas de correctif.
| Branche AsyncOS | Première version corrigée de Cisco ou action |
|---|---|
| 15.5 | 15.5.5-014 |
| 16.0 | Aucune version corrigée ; migrer vers une version corrigée |
| 16.5 | 16.5.0-780 |
| Antérieure à 16.5 | Cisco recommande fortement la migration vers 16.5.0-780 |
Le correctif est également diffusé via Content Scanner Tools 25.3.0.5525 ou ultérieure pour les versions d'AsyncOS sous licence et prises en charge.
The Hacker News rapporte que Content Scanner Tools peut être mis à jour sans mise à niveau ni redémarrage d'AsyncOS. Les mises à jour automatiques des services ont peut-être déjà installé le paquet corrigé. Si ce n'est pas le cas, les administrateurs peuvent exécuter :
contentscannerupdate
Les mises à jour peuvent aussi être activées via Security Services > Service Updates.
Pour la branche 16.0, les opérateurs doivent suivre l'instruction explicite de Cisco de migrer, plutôt que de supposer qu'un build corrigeant une autre vulnérabilité de SEG résout aussi CVE-2026-76519.
Comment rechercher des signes de compromission
Cisco demande aux administrateurs de rechercher dans les journaux système de l'appliance avec :
grep "System Security" system_logs
Chaque membre doit être vérifié séparément dans les déploiements en cluster. Cisco associe les messages possibles aux actions suivantes :
-
System Security: Suspected compromise indicator was found. Contact TAC for further recommendations.
Cisco considère ce résultat comme une compromission détectée et invite le client à suivre ses recommandations de restauration. -
System Security: Security scan did not complete. Contact TAC for further recommendations.
Contactez le centre d'assistance technique (TAC) de Cisco pour obtenir de l'aide. -
System Security: No compromise indicator was found.
Mettre à niveau vers une version corrigée, si applicable.
Un résultat local négatif ne remplace pas l'analyse de la télémétrie externe. Comme l'accès root peut permettre à un intrus de supprimer ou de dissimuler des traces sur la passerelle, Cisco recommande vivement d'examiner les journaux du pare-feu et du réseau en dehors de l'appliance. Les administrateurs doivent rechercher des envois inattendus vers des adresses IP externes et des téléchargements depuis des adresses IP malveillantes.
Cisco indique avoir contacté directement les clients de Secure Email Cloud dont les appareils présentaient des indicateurs de compromission possible, et travailler à la remédiation et à la restauration. L'entreprise a également déployé des mesures d'atténuation dans son environnement de gestion cloud. Les administrateurs d'appareils gérés dans le cloud peuvent ne pas disposer d'un accès CLI suffisant pour effectuer eux-mêmes les vérifications côté appliance.
Une appliance compromise doit être reconstruite, et pas seulement corrigée
Pour une appliance physique présentant des signes de compromission, Cisco invite les clients à contacter le TAC et à activer l'accès à distance afin de faciliter l'enquête.
Pour les appliances virtuelles, Cisco recommande la séquence suivante :
- Préserver les données forensiques conformément à la politique de gestion des incidents de l'organisation. La mise à niveau d'une instance compromise détruit les journaux et d'autres informations forensiques.
- Déployer une nouvelle machine virtuelle exécutant une version corrigée.
- Reconfigurer le système sans importer de fichiers de configuration issus de l'appareil compromis.
- Remplacer les identifiants et le matériel cryptographique installés sur l'appliance.
- Poursuivre la surveillance des activités anormales.
Les déploiements en cluster exigent une action plus large. Les membres s'authentifient entre eux au moyen de paires de clés SSH ; des clés privées récupérées sur une appliance compromise pourraient donc exposer les autres membres. Cisco recommande donc fortement de restaurer chaque membre d'un cluster dès qu'au moins un membre est compromis.
Les systèmes sans exploitation suspectée doivent être mis à niveau vers une version corrigée ou recevoir Content Scanner Tools 25.3.0.5525 ou ultérieure dès que cela est possible sur le plan opérationnel.
