Cisco załatało wykorzystywaną w atakach podatność w bramie pocztowej Secure Email Gateway

Rodzaj: Streszczenie
Data: 15.10.2026
Aktualizacja: 17.10.2026
Kategoria: Incydenty
Redakcja: Paweł Rosół
Źródło: CISA Known Exploited Vulnerabilities (14 października 2026)

Cisco ostrzega przed atakami na podatność CVE-2026-76519 w Secure Email Gateway. Niezalogowany atakujący może przez spreparowany załącznik zapisać pliki w systemie bramy i według Cisco wykonać polecenia jako root. CISA wyznaczyła termin na 17 października 2026 r.

Cisco załatało podatnośćPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. CVE-2026-76519 w bramie pocztowej Secure Email Gateway, która jest już wykorzystywana w atakach. Niezalogowany atakujący wysyła przez podatne urządzenie wiadomość ze spreparowanym załącznikiem, może zapisać dowolne pliki w systemie operacyjnym i według Cisco wykonać polecenia z uprawnieniami root. Błąd dotyczy funkcji Advanced Malware Protection i wynika z niewłaściwej obsługi załączników. SecurityOnline podaje ocenę 9,8 w skali CVSSCVSS Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach. 3.1.

Podatne są urządzenia, w których usługa File Reputation jest włączona i przypisana do polityki poczty, a wersja Content Scanner Tools jest wcześniejsza niż 25.3.0.5525. Jeśli używasz tej bramy, zleć administratorowi sprawdzenie wersji poleceniem contentscannerstatus oraz ustawienia File Reputation w politykach poczty przychodzącej i wychodzącej. Cisco nie ujawniło szczegółów ataków, ale opublikowało wskaźniki kompromitacji.

Według SecurityOnline nie ma obejścia. Poprawką jest Content Scanner Tools w wersji 25.3.0.5525 lub nowszej, instalowany poleceniem contentscannerupdate bez restartu systemu, albo AsyncOS w wydaniu 15.5.5-014 lub 16.5.0-780. Instancje Cisco Secure Email Cloud Gateway są już załatane. Źródła różnią się co do Secure Email and Web Manager: SecurityOnline pisze, że ten produkt nie jest podatny, a kanadyjskie Cyber Centre wymienia jego wersje 15.5 sprzed 15.5.5-006 i 16.5 sprzed 16.5.0-429 wśród produktów objętych biuletynem.

CISACISA Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC. dodała podatność do katalogu KEVKatalog KEV Known Exploited Vulnerabilities: prowadzona przez CISA lista podatności, o których wiadomo, że są wykorzystywane w atakach. Wpis do katalogu to sygnał, żeby łatać w pierwszej kolejności. 14 października 2026 r. i wyznaczyła termin działań na 17 października 2026 r. Shadowserver śledzi blisko 300 takich bram dostępnych z internetu. Cisco radzi sprawdzić logi zapór pod kątem połączeń do i z podejrzanych adresów IP, bo po uzyskaniu uprawnień root atakujący mogą usuwać ślady. SecurityOnline wskazuje też polecenie grep "System Security" system_logs do szukania wskaźników kompromitacji.

Aktualizacja z 16 października 2026

Wydanie AsyncOS 16.0 jest podatne we wszystkich wersjach. Według CERT.at nie ma dla niego poprawki i trzeba przejść na wersję naprawioną. Cisco zaleca migrację systemów z wydań starszych niż 16.5 do 16.5.0-780. Opublikowany tekst nie wymieniał tego wydania. CERT.at i CERT-EUCERT-EU Służba cyberbezpieczeństwa instytucji, organów i agencji Unii Europejskiej. Jej ostrzeżenia bywają źródłem aktualności na tej stronie; nie jest organem w rozumieniu ustawy o KSC., powołując się na Cisco, podają też, że Secure Email and Web Manager nie jest podatny, co zgadza się z SecurityOnline, a nie z wykazem kanadyjskiego Cyber Centre.

Muszę sprostować jedno zdanie: napisałem, że Cisco opublikowało wskaźniki kompromitacji. CERT-EU pisze, że w swoim advisory Cisco nie podaje żadnego konkretnego wskaźnika i że nie wiadomo, jak generowane są komunikaty w logach. Polecenie grep "System Security" system_logs może zwrócić jeden z trzech komunikatów. Wykrycie wskaźnika oznacza włamanie i uruchomienie planu reagowania na incydenty. Komunikat o niezakończonym skanie oznacza podejrzenie włamania: plan reagowania i kontakt z Cisco TAC. Trzeci komunikat mówi, że wskaźnika nie znaleziono.

Na przejętym urządzeniu można odczytać prywatne klucze SSH, którymi uwierzytelniają się między sobą członkowie klastra, i użyć ich do przejęcia kolejnych. CERT.at zaleca sprawdzenie system_logs na każdym członku klastra, a przy choć jednym skompromitowanym urządzeniu odbudowę wszystkich członków. Przy wirtualnej bramie Cisco radzi najpierw zabezpieczyć dane do analizy, bo aktualizacja je niszczy. Potem trzeba postawić nową maszynę z wersją naprawioną, skonfigurować ją bez importu starych plików i wymienić wszystkie dane uwierzytelniające oraz materiał kryptograficzny. NCSC-NL pisze, że publicznego exploita jeszcze nie ma, ale spodziewa się go wkrótce.

Aktualizacja z 17 października 2026

Naprawione wydania AsyncOS ukazały się według Neoteo, powołującego się na The Hacker News, już w wydaniu utwardzającym z 14 września, zanim Cisco dowiedziało się o wykorzystaniu podatności w październiku. Numer CVE-2026-76519 nadano jej później. Cyberpress podaje inaczej, że Cisco znalazło błąd podczas wewnętrznego skanowania bezpieczeństwa, więc z dostępnych źródeł nie wynika jednoznacznie, jak Cisco go wykryło.

Cisco powiedziało The Register, że problem dotyczy ograniczonej liczby klientów. Nie podało, ile urządzeń przejęto ani co atakujący zrobili po uzyskaniu dostępu, więc skali ataków nie da się ocenić. DiarioBitcoin, także za The Register, pisze, że to drugi podobny zero-dayZero-day Podatność wykorzystywana przez napastników, zanim producent ją ujawnił i udostępnił poprawkę. w Secure Email Gateway w ciągu dwóch miesięcy: w połowie września Cisco ostrzegało przed CVE-2026-76461, która również mogła dać dostęp root przez złośliwy e-mail. W styczniu urządzenia atakowano przez CVE-2025-20393 w AsyncOS, ocenioną na 10 w skali CVSS. Źródło zastrzega, że nie ma dowodu na wspólnych sprawców ani wspólną przyczynę tych błędów.

Neoteo zaznacza, że brak wskaźnika po poleceniu grep "System Security" system_logs nie dowodzi, że urządzenie jest czyste, bo atakujący z uprawnieniami root mógł ukryć lub usunąć ślady. Przy podejrzeniu włamania do fizycznej bramy Cisco zaleca kontakt z Technical Assistance Center i włączenie zdalnego dostępuZdalny dostęp Dostęp do systemu spoza sieci organizacji, na przykład serwisanta do sterownika przez internet. Bezpieczny tylko wtedy, gdy wiadomo, kto się łączy i przez jaki kanał. do analizy. Cyberpress dodaje, że klienci Cisco Secure Email Cloud Gateway, którzy skontaktowali się z Cisco, powinni również wymienić dane uwierzytelniające i materiał kryptograficzny, o ile to możliwe.

Źródła

Pojęcia w tym tekście (8)

Podatność: Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
CVSS: Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach.
CISA: Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC.
Katalog KEV: Known Exploited Vulnerabilities: prowadzona przez CISA lista podatności, o których wiadomo, że są wykorzystywane w atakach. Wpis do katalogu to sygnał, żeby łatać w pierwszej kolejności.
CERT-EU: Służba cyberbezpieczeństwa instytucji, organów i agencji Unii Europejskiej. Jej ostrzeżenia bywają źródłem aktualności na tej stronie; nie jest organem w rozumieniu ustawy o KSC.
Incydent: Zdarzenie, które szkodzi albo może zaszkodzić bezpieczeństwu systemów informacyjnych. Zgłaszać trzeba nie każdy incydent, tylko incydent poważny.
Zero-day: Podatność wykorzystywana przez napastników, zanim producent ją ujawnił i udostępnił poprawkę.
Zdalny dostęp: Dostęp do systemu spoza sieci organizacji, na przykład serwisanta do sterownika przez internet. Bezpieczny tylko wtedy, gdy wiadomo, kto się łączy i przez jaki kanał.

Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych 14 października 2026; tekst sprawdził i zatwierdził autor przed publikacją.