Une pièce jointe malveillante peut permettre à des attaquants d’exécuter des commandes avec les privilèges root sur les appliances Cisco Secure Email Gateway vulnérables, même si personne n’ouvre le fichier.
Cisco a confirmé l’exploitation active de CVE-2026-76519 le 14 octobre 2026. Cette vulnérabilité critique affiche un score CVSS de 9,8 et ne nécessite ni authentification ni interaction de l’utilisateur. La Cybersecurity and Infrastructure Security Agency (CISA) l’a ajoutée à son catalogue des vulnérabilités connues comme exploitées, fixant au 17 octobre la date limite de remédiation pour les agences fédérales concernées.
Cette faille touche une infrastructure de sécurité conçue pour intercepter les e-mails malveillants. Les administrateurs doivent rechercher une éventuelle compromission en parallèle de l’application du correctif, car des attaquants disposant des privilèges root peuvent dissimuler les preuves d’une intrusion. La liste des vulnérabilités exploitées de la CISA exige également des agences concernées qu’elles effectuent un triage forensique conformément aux directives fédérales.
Quelles passerelles de messagerie Cisco sont vulnérables ?
Selon l’avis de sécurité Cisco du 14 octobre, CVE-2026-76519 est une vulnérabilité de traversée de chemin relatif (CWE-23) dans la fonctionnalité Advanced Malware Protection (AMP) de Secure Email Gateway. Des pièces jointes spécialement conçues peuvent déclencher l’écriture de fichiers arbitraires et l’exécution de commandes avec les privilèges root.
Les appliances physiques et virtuelles sont vulnérables lorsqu’elles exécutent une version concernée d’AsyncOS et que les deux conditions suivantes sont réunies :
- AMP File Reputation est activé et associé à une règle de messagerie entrante ou sortante.
- Content Scanner Tools est antérieur à la version 25.3.0.5525.
Les administrateurs peuvent vérifier la version du scanner à l’aide de contentscannerstatus et examiner les paramètres de File Reputation dans les règles de messagerie concernées. Cisco Secure Email and Web Manager et Secure Web Appliance ne sont pas concernés.
Cisco a révélé un autre zero-day de Secure Email Gateway le 14 septembre. Cette faille d’injection SQL, CVE-2026-76461, touchait les appliances vulnérables quelle que soit leur configuration et nécessite une évaluation distincte de l’exposition.
Des attaques distinctes contre Cisco Firewall Management Center en septembre ont impliqué le vol d’identifiants et l’accès à des réseaux internes. Cisco n’a pas établi de lien entre ces incidents et la vulnérabilité actuelle de la passerelle.
Application du correctif et vérification d’une compromission pour CVE-2026-76519
Cisco a publié les versions corrigées d’AsyncOS 15.5.5-014 et 16.5.0-780. Les installations sous licence et prises en charge peuvent également appliquer la version 25.3.0.5525 ou ultérieure de Content Scanner Tools sans mise à niveau complète du logiciel ni redémarrage.
Les administrateurs peuvent lancer la mise à jour du scanner à l’aide de contentscannerupdate. Aucun contournement ne corrige la faille, et l’installation du correctif ne permet pas de déterminer si des attaquants ont déjà obtenu un accès.
Les équipes de sécurité doivent donner la priorité aux actions suivantes :
- Vérifier l’exposition et appliquer le correctif : Vérifiez les versions d’AsyncOS, les règles de File Reputation et les versions du scanner. Appliquez le correctif approprié et vérifiez son installation.
- Rechercher une compromission : Exécutez
grep "System Security" system_logssur chaque appliance, y compris les membres du cluster, et corrélez les résultats avec les journaux externes des pare-feu et du réseau. - Restreindre l’accès d’administration : Limitez les connexions administratives aux hôtes de confiance, séparez les interfaces d’administration et de traitement des e-mails, et imposez une authentification forte.
- Réduire les services superflus : Désactivez les services HTTP et FTP inutilisés lorsque cela est pertinent et restreignez le trafic d’administration au moyen de pare-feu.
- Préserver les preuves : Transférez les journaux vers un stockage externe. En cas de suspicion de compromission, préservez les données forensiques et contactez le Cisco Technical Assistance Center (TAC).
- Tester les plans de réponse aux incidents : Validez les procédures de préservation des preuves, de remplacement des identifiants et de récupération du cluster avant qu’un incident ne rende leur application nécessaire.
Les vérifications des journaux de Cisco distinguent les indicateurs de compromission suspects, les analyses de sécurité incomplètes et l’absence d’indicateurs détectés. Les administrateurs qui découvrent des indicateurs de compromission suspects doivent contacter le Cisco TAC et suivre ses recommandations de récupération. Les analyses incomplètes justifient également l’assistance du TAC.
Cisco recommande l’assistance du TAC pour les appliances physiques potentiellement compromises. La récupération d’une appliance virtuelle implique de préserver les preuves, de déployer une machine virtuelle propre, de reconstruire les configurations sans importer les fichiers précédents, puis de renouveler les identifiants et le matériel cryptographique.
Des clés SSH exposées peuvent également mettre en danger les autres membres du cluster. Cisco a mis à jour son infrastructure Secure Email Cloud gérée et a contacté les clients présentant de possibles indicateurs de compromission.
Comme pour l’exploitation récente de SharePoint, l’application du correctif peut devoir se poursuivre parallèlement à l’enquête forensique. Installer un correctif ne permet pas de déterminer si des attaquants ont déjà compromis une passerelle ou laissé un accès non autorisé.
En savoir plus : les vulnérabilités critiques des commutateurs Nexus montrent comment les versions logicielles et les fonctionnalités activées peuvent déterminer l’exposition aux attaques visant l’accès root dans l’ensemble de l’infrastructure réseau.