Cisco выпустила исправление для CVE-2026-76519 — активно эксплуатируемой уязвимости Cisco SEG, которая позволяет удалённому атакующему без учётной записи выполнить команды с правами root. Для атаки достаточно отправить на не обновлённый почтовый шлюз письмо со специально подготовленным вложением; для компаний, использующих Cisco Secure Email Gateway, это повод не откладывать проверку до ближайшего окна обслуживания.
Проблема находится в функции Advanced Malware Protection (AMP) и связана с относительным обходом путей при обработке вложений. По данным BleepingComputer, уязвимость проявляется, когда служба File Reputation включена и назначена политике обработки почты, а версия Content Scanner Tools ниже 25.3.0.5525. При успешной эксплуатации злоумышленник может записывать произвольные файлы и запускать команды от имени root в операционной системе устройства.
Для почтового периметра это особенно неприятный сценарий: вредоносный объект приходит тем же каналом, который шлюз должен проверять и обезвреживать. Атакующему не нужно искать опубликованную админ-панель, подбирать пароль или получать доступ во внутреннюю сеть. Достаточно доставить письмо через уязвимый шлюз при подходящей конфигурации AMP.
Что проверить администраторам
Cisco советует начать с двух проверок. Версию Content Scanner Tools можно посмотреть командой contentscannerstatus. Затем в веб-интерфейсе нужно убедиться, включён ли параметр File Reputation в разделах Advanced Malware Protection для входящих и исходящих политик почты. Если функция используется, а версия сканера ниже 25.3.0.5525, устройство подпадает под условия уязвимости Cisco SEG и требует обновления до исправленного выпуска.
Вендор также опубликовал признаки, на которые следует обратить внимание в системных сообщениях. Запись о найденном индикаторе компрометации означает, что устройство следует считать скомпрометированным и действовать по рекомендациям бюллетеня Cisco. Сообщение о незавершённой проверке безопасности — повод обратиться в Cisco Technical Assistance Center. Если сканирование не обнаружило индикаторов, это не отменяет обновление: такой результат означает лишь отсутствие найденных следов компрометации на момент проверки.
Отдельная сложность — атакующий с root-доступом может подчистить следы. Cisco рекомендует сопоставить результаты проверки с данными межсетевых экранов и сетевыми журналами: в частности, искать подозрительные загрузки и выгрузки данных на внешние IP-адреса. Если компания получила от Cisco уведомление о вероятной компрометации облачного устройства, вендор предлагает восстановить безопасную конфигурацию, по возможности сменить учётные данные и криптографические материалы, а также ограничить доступ к устройству строгими правилами контроля.
Не первая проблема в почтовом шлюзе
История выглядит не как единичный сбой. В сентябре Cisco уже предупреждала об активно используемой уязвимости CVE-2026-76461 в разборе электронной почты AsyncOS: она тоже позволяла неаутентифицированному удалённому атакующему выполнять произвольные команды с правами root. В январе компания устранила уязвимость максимальной критичности CVE-2025-20393, которую злоумышленники использовали против SEG и Secure Email and Web Manager с ноября 2025 года.
Ещё раньше, в июле 2024 года, Cisco закрыла CVE-2024-20401 в SEG. Через вредоносные вложения атакующие могли создавать новых пользователей с root-правами либо выводить устройство из строя. Повторяемость таких инцидентов важна для руководителей ИБ не из-за коллекции номеров CVE, а из-за практического вывода: почтовый шлюз нельзя считать «настроенным и забытым» элементом инфраструктуры. Его конфигурация, версии компонентов и логи требуют регулярной проверки наравне с публичными VPN, средствами удалённого доступа и средствами защиты конечных точек.
По данным Shadowserver, в интернете видно почти 300 экземпляров Cisco Secure Email Gateway. Сервис не уточняет, сколько из них являются ловушками, уже защищены или остаются уязвимыми, поэтому эта цифра не описывает реальный масштаб риска. Но она показывает, что внешне доступные шлюзы всё ещё существуют, а значит, у атакующих есть пространство для автоматизированного поиска целей.
Для российских команд, эксплуатирующих Cisco SEG в международных контурах или у зарубежных подразделений, приоритет понятен: инвентаризировать устройства, проверить статус File Reputation, обновить Content Scanner Tools и сохранить журналы до любых восстановительных работ. Уязвимость Cisco SEG вновь напоминает, что защита почты сама остаётся высокоценной целью: контроль над шлюзом даёт атакующему удобную точку для проникновения, наблюдения и дальнейшего движения по сети.