Η Cisco προειδοποίησε ότι εισβολείς εκμεταλλεύονται ενεργά μια κρίσιμη ευπάθεια στο Cisco Secure Email Gateway, με βαθμολογία CVSS 9.8. Το ελάττωμα επιτρέπει σε αποστολέα χωρίς κανένα login να γράψει αρχεία στο λειτουργικό σύστημα της συσκευής και, σε επιτυχή επίθεση, να εκτελέσει εντολές ως root. Η ευπάθεια παρακολουθείται ως CVE-2026-76519.
Πώς λειτουργεί η επίθεση στο Cisco Secure Email Gateway
Η συσκευή φιλτράρει την αλληλογραφία ενός οργανισμού για spam, malware και άλλες απειλές. Ο εισβολέας αρκεί να στείλει μέσω του gateway ένα email με ειδικά διαμορφωμένο συνημμένο. Αν η απόπειρα πετύχει, μπορεί να καταλήξει σε εκτέλεση εντολών με τα υψηλότερα δικαιώματα.
Η Cisco εντόπισε το πρόβλημα στον δικό της εσωτερικό έλεγχο ασφαλείας και έμαθε για τις επιθέσεις τον Οκτώβριο. Η ανακοίνωση δεν αναφέρει πόσες συσκευές δέχτηκαν επίθεση ούτε ποιος βρίσκεται πίσω από αυτές. Δεν διευκρινίζει επίσης αν οι επιτιθέμενοι απέκτησαν πράγματι root σε κάποια από αυτές.
Πότε είναι ευάλωτο το Cisco Secure Email Gateway
Πρέπει να ισχύουν και οι δύο προϋποθέσεις. Η υπηρεσία File Reputation, τμήμα του Advanced Malware Protection (AMP) που χειρίζεται τα συνημμένα, πρέπει να είναι ενεργή και συνδεδεμένη με μια πολιτική αλληλογραφίας. Επιπλέον, το πακέτο Content Scanner Tools πρέπει να είναι παλαιότερο από την έκδοση 25.3.0.5525. Επηρεάζονται φυσικά και εικονικά gateway με ευάλωτες εκδόσεις AsyncOS. Το Secure Email and Web Manager και το Secure Web Appliance δεν επηρεάζονται.
Διόρθωση, έλεγχος και ανάκτηση
Η διόρθωση κυκλοφορεί από τις 14 Σεπτεμβρίου στις εκδόσεις AsyncOS 15.5.5-014 και 16.5.0-780. Η Cisco τις είχε ανακοινώσει εκείνη την ημέρα ως μέρος μιας έκδοσης hardening και τώρα δηλώνει ότι κάλυπταν και αυτό το ελάττωμα. Η ταχύτερη λύση είναι η ενημέρωση του Content Scanner Tools στην έκδοση 25.3.0.5525 ή νεότερη. Εγκαθίσταται χωρίς αναβάθμιση λογισμικού και χωρίς επανεκκίνηση.
Για τα gateway της σειράς 16.0 δεν υπάρχει διορθωμένη έκδοση και η Cisco συστήνει μετάβαση σε διορθωμένη κυκλοφορία. Γενικότερα, προτείνει κάθε gateway παλαιότερο της 16.5 να μετακινηθεί στην 16.5.0-780. Η έκδοση 16.0.4-302, που διόρθωσε το ελάττωμα SQL injection του Σεπτεμβρίου, δεν διορθώνει αυτό το πρόβλημα. Δεν υπάρχει workaround.
Για να ελέγξουν αν έγινε απόπειρα εκμετάλλευσης, οι διαχειριστές μπορούν να τρέξουν στη συσκευή την εντολή grep "System Security" system_logs. Το αποτέλεσμα δείχνει είτε ύποπτο δείκτη παραβίασης, είτε ότι η σάρωση δεν ολοκληρώθηκε, είτε ότι δεν βρέθηκε δείκτης. Ένα «καθαρό» αποτέλεσμα δεν αποτελεί απόδειξη, γιατί ένας εισβολέας με root μπορεί να σβήσει ή να κρύψει ίχνη.
Σε φυσική συσκευή με ενδείξεις παραβίασης, η Cisco ζητά επικοινωνία με το TAC και ενεργοποίηση απομακρυσμένης πρόσβασης για τους μηχανικούς της. Σε εικονική συσκευή, η καθοδήγησή της είναι:
- πρώτα διατήρηση των forensic δεδομένων, γιατί η αναβάθμιση μιας παραβιασμένης εγκατάστασης καταστρέφει logs και ίχνη·
- ανάπτυξη νέου virtual machine σε διορθωμένη έκδοση·
- ανακατασκευή της ρύθμισης χωρίς εισαγωγή παλιού αρχείου configuration·
- ανανέωση των credentials και του κρυπτογραφικού υλικού.
Τα μέλη ενός cluster πιστοποιούνται μεταξύ τους με ζεύγη κλειδιών SSH. Γι’ αυτό η Cisco συστήνει επαναφορά όλων των μελών ενός cluster που περιέχει έστω και μία παραβιασμένη συσκευή. Οι πελάτες της διαχειριζόμενης υπηρεσίας Secure Email Cloud δεν χρειάζεται να κάνουν κάτι για τη διόρθωση, καθώς ο διορθωμένος scanner έχει ήδη εγκατασταθεί. Όσοι έχουν δείκτες πιθανής παραβίασης έχουν ήδη ενημερωθεί από την εταιρεία.
Γιατί έχει σημασία
Το περιστατικό δεν είναι μεμονωμένο. Στις 14 Σεπτεμβρίου η Cisco είχε αποκαλύψει το CVE-2026-76461, ένα ελάττωμα SQL injection στην ανάλυση των email, που επηρεάζει όλες τις διαμορφώσεις και προστέθηκε την ίδια μέρα στον κατάλογο Known Exploited Vulnerabilities της CISA. Η εταιρεία δεν έχει συνδέσει τις δύο επιθέσεις και τα ελαττώματα βρίσκονται σε διαφορετικά τμήματα του λογισμικού, με διαφορετικούς ελέγχους logs.
Η Cisco ενημέρωσε και τη σχετική ανακοίνωση hardening, που ομαδοποιεί εσωτερικά ευρήματα σε πέντε CVE ανά κατηγορία αδυναμίας. Σύμφωνα με αυτήν, δύο από τα ελαττώματα είναι γνωστό ότι αξιοποιούνται ενεργά: το πρόβλημα εγγραφής αρχείων και το SQL injection του Σεπτεμβρίου. Για τα υπόλοιπα δεν γνωρίζει επιθέσεις.
Πρόκειται επίσης για το τρίτο ελάττωμα επιπέδου root σε αυτές τις συσκευές που η Cisco επιβεβαιώνει ως εκμεταλλευόμενο από τον Δεκέμβριο. Τότε μια ομάδα με σχέσεις με την Κίνα, που η Cisco Talos παρακολουθεί ως UAT-9686, αξιοποίησε το zero-day CVE-2025-20393 στη λειτουργία spam quarantine, το οποίο διορθώθηκε τον Ιανουάριο. Οι email gateways βρίσκονται στην πρώτη γραμμή του δικτύου και η παραβίασή τους δίνει πρόσβαση σε ευαίσθητη αλληλογραφία και εσωτερικές διαδρομές. Η καθυστέρηση σε μια διαθέσιμη ενημέρωση είναι εδώ πραγματικός κίνδυνος.
Τι πρέπει να κάνετε
- Ελέγξτε αν η υπηρεσία File Reputation είναι ενεργή σε κάποια πολιτική αλληλογραφίας και τρέξτε
contentscannerstatusγια να δείτε την έκδοση του Content Scanner Tools. - Αν η έκδοση είναι παλαιότερη της 25.3.0.5525, εκτελέστε
contentscannerupdateή ενεργοποιήστε τις αυτόματες ενημερώσεις στο Security Services > Service Updates. Επιβεβαιώστε το αποτέλεσμα, μην το θεωρήσετε δεδομένο. - Σχεδιάστε μετάβαση στην 16.5.0-780 για gateway παλαιότερα της 16.5, ιδίως για όσα βρίσκονται στην 16.0.
- Τρέξτε την εντολή ελέγχου σε κάθε μέλος του cluster και συμπληρώστε την με έλεγχο των logs firewall και δικτύου για ασυνήθιστες μεταφορές προς ή από εξωτερικές IP.
- Αν βρείτε ένδειξη παραβίασης, μην αναβαθμίσετε πρώτα: διατηρήστε τα forensic δεδομένα, επικοινωνήστε με το TAC και ακολουθήστε τα βήματα ανακατασκευής και ανανέωσης credentials.
Πηγή: The Hacker News