Invasores estão explorando uma falha crítica no Cisco Secure Email Gateway que permite a um remetente sem login gravar arquivos no sistema operacional do equipamento, informou a Cisco em um comunicado de segurança nesta quarta-feira.
O invasor envia um e-mail com um anexo especialmente elaborado pelo gateway e, se tiver sucesso, poderia executar comandos como root (usuário com privilégios máximos no sistema). O equipamento filtra o e-mail de uma organização em busca de spam, malware e outras ameaças, e apenas um gateway com o serviço File Reputation habilitado e um pacote Content Scanner Tools anterior à versão 25.3.0.5525 é vulnerável.
A correção está disponível desde 14 de setembro nas versões AsyncOS 15.5.5-014 e 16.5.0-780, as builds que a Cisco listou como corrigidas em uma versão de reforço de segurança naquele dia e que, segundo a empresa, agora cobrem esta falha. Ela também chega como uma atualização do Content Scanner Tools, na versão 25.3.0.5525 ou posterior, que é instalada sem necessidade de atualização do software ou reinicialização.
A Cisco identificou a falha, registrada como CVE-2026-76519 (sigla de Common Vulnerabilities and Exposures, ou Vulnerabilidades e Exposições Comuns), com pontuação CVSS de 9,8 (Sistema Comum de Pontuação de Vulnerabilidades), em suas próprias verificações internas de segurança e tomou conhecimento dos ataques em outubro. O comunicado não informa quantos equipamentos foram atacados, quem está por trás dos ataques nem se os invasores obtiveram acesso root em algum deles.
A Cisco entrou em contato com clientes do seu serviço gerenciado Secure Email Cloud cujos equipamentos apresentaram "indicadores de possível comprometimento" e afirma estar envolvida em remediação e recuperação. Os administradores desses gateways gerenciados podem não ter o acesso por linha de comando necessário para executar a verificação de comprometimento descrita abaixo. Como a Cisco já implantou o scanner corrigido nesses gateways, eles não precisam fazer nada para receber a correção.
Quem Está Exposto
As duas condições precisam ser atendidas. O serviço File Reputation, parte do recurso Advanced Malware Protection (AMP, proteção avançada contra malware) que trata os anexos, precisa estar habilitado e atribuído a uma política de e-mail, e a versão do Content Scanner Tools deve ser anterior a 25.3.0.5525.
Gateways físicos e virtuais com versões vulneráveis do AsyncOS são afetados. Secure Email and Web Manager e Secure Web Appliance não são afetados.
Para verificar a primeira condição, acesse Mail Policies > Incoming Mail Policies > Advanced Malware Protection, ou o mesmo caminho em Outgoing Mail Policies, escolha uma política de e-mail e observe a caixa Enable File Reputation. Para verificar a segunda, execute contentscannerstatus na CLI (interface de linha de comando), que mostra a versão instalada e a data da última atualização.
Como Corrigir
A forma mais rápida é a atualização do scanner. Gateways com atualizações automáticas do Content Scanner Tools ativadas não precisam de ação depois que a atualização for aplicada, mas convém confirmar com contentscannerstatus que a versão é 25.3.0.5525 ou posterior, em vez de presumir que ela foi instalada.
Onde as atualizações automáticas estiverem desativadas, execute contentscannerupdate na CLI ou ative-as em Security Services > Service Updates.
A correção completa do AsyncOS está nas primeiras versões corrigidas a seguir:
- 15.5: 15.5.5-014
- 16.0: sem build corrigida. Migre para uma versão corrigida.
- 16.5: 16.5.0-780
- Content Scanner Tools (todas as versões do AsyncOS licenciadas e com suporte): 25.3.0.5525 ou posterior
A Cisco recomenda que qualquer gateway anterior à versão 16.5 migre para a 16.5.0-780. Um gateway 16.0 na build 16.0.4-302, que corrigiu a falha de injeção de SQL (SQL, Linguagem de Consulta Estruturada) de setembro, não está corrigido para esta vulnerabilidade. Além disso, o comunicado não informa quais versões são consideradas licenciadas e com suporte para a atualização do scanner. Para um gateway 16.0 que permaneça nessa versão, a versão do scanner exibida por contentscannerstatus é a única confirmação oferecida pelo comunicado.
Não há solução alternativa. Para um equipamento virtual que apresente sinais de comprometimento, a orientação da Cisco é reconstruí-lo com novas credenciais, e a empresa alerta que atualizar uma instância comprometida destrói os dados forenses e os registros.
Como Verificar um Comprometimento
A verificação da Cisco para tentativas de exploração é um único comando no equipamento: grep "System Security" system_logs. Ele retorna uma de três mensagens:
- System Security: indicador de possível comprometimento encontrado. Entre em contato com o TAC (Centro de Assistência Técnica da Cisco) para mais recomendações. Comprometimento detectado. Siga os passos de recuperação abaixo.
- System Security: a verificação de segurança não foi concluída. Entre em contato com o Centro de Assistência Técnica da Cisco (TAC) para mais recomendações.
- System Security: nenhum indicador de comprometimento foi encontrado. Nenhum comprometimento foi detectado por esta verificação. Atualize o equipamento se ele estiver em uma versão afetada.
Execute a verificação em todos os membros de um cluster. Um resultado limpo não é prova definitiva, pois um invasor com acesso root pode remover ou ocultar evidências. Por isso, verifique também os registros de firewall e de rede fora do equipamento, em busca de envios inesperados para endereços IP (Protocolo de Internet) externos ou downloads de endereços maliciosos. O comunicado não diz o que a verificação procura.
Se um Equipamento For Comprometido
Em um equipamento físico, a Cisco pede que os clientes entrem em contato com o TAC e habilitem o acesso remoto para que seus engenheiros possam investigar. Em um equipamento virtual, os passos recomendados são:
- Preserve primeiro os dados forenses. Atualizar uma instância comprometida destrói seus registros e evidências.
- Implante uma nova máquina virtual em uma versão corrigida.
- Reconstrua a configuração sem importar nenhum arquivo de configuração anterior.
- Renove as credenciais e o material criptográfico do equipamento e continue monitorando comportamentos incomuns.
Os membros de um cluster se autenticam entre si com pares de chaves SSH (Secure Shell, protocolo de acesso remoto seguro). As chaves privadas de um membro comprometido podem dar ao invasor uma forma de acessar os demais. Por isso, a Cisco recomenda reconstruir todos os membros de um cluster que contenha pelo menos um equipamento comprometido. Os clientes do Secure Email Cloud contatados pela empresa devem renovar credenciais e material criptográfico sempre que possível.
A Falha de Setembro
Esta é a segunda falha do Secure Email Gateway que a Cisco confirma estar sendo explorada em ataques em pouco mais de um mês. Em 14 de setembro, a empresa divulgou a CVE-2026-76461, uma falha de injeção de SQL no processamento de e-mails do gateway, que poderia permitir a um remetente não autenticado executar comandos como root por meio de um e-mail elaborado.
Essa falha afeta todas as configurações e foi incluída no mesmo dia no catálogo de Vulnerabilidades Exploradas Conhecidas da CISA (Agência de Segurança Cibernética e de Infraestrutura dos EUA). As duas falhas estão em partes diferentes do software e têm verificações de registros distintas, e a Cisco não vinculou os ataques entre si.
No mesmo dia, a Cisco publicou uma versão de reforço de segurança para o gateway e para o Secure Email and Web Manager, que agrupou falhas encontradas internamente em cinco CVEs guarda-chuva, por classe de fraqueza: CVE-2026-76440, CVE-2026-76441, CVE-2026-20353 e CVE-2026-76443, cada uma com pontuação 9,8, e CVE-2026-76442, com pontuação 7,5. Cada pontuação é a mais alta entre as falhas da respectiva classe, e o comunicado trazia as builds 15.5.5-014 e 16.5.0-780.
Na quarta-feira, a Cisco atualizou esse comunicado, que agora afirma: "Duas delas são conhecidas por estarem sendo exploradas ativamente". São elas a falha de gravação de arquivos, que pertence à classe de travessia de diretórios (path traversal), e a falha de injeção de SQL de setembro, que pertence à classe de neutralização imprópria. A empresa não tem conhecimento de ataques contra as demais falhas da versão.
Em uma política de divulgação apresentada em junho, a Cisco detalhou que falhas corrigidas em versões de reforço de segurança compartilham CVEs agrupadas, e que uma falha recebe CVE própria quando, entre outros motivos, é conhecida por ser explorada. A falha de gravação de arquivos foi corrigida em setembro dentro do grupo de travessia de diretórios e recebeu comunicado próprio na quarta-feira.
Também é a terceira falha de acesso root nesses equipamentos que a Cisco confirma ter sido explorada desde dezembro, quando um grupo com vínculos com a China, que a equipe Cisco Talos acompanha como UAT-9686, usou uma vulnerabilidade zero-day no recurso de quarentena de spam, a CVE-2025-20393, que a Cisco corrigiu em janeiro.
