CVE-2026-76519 : une traversée de chemin dans Cisco Secure Email Gateway est exploitée — mise à jour et vérification de compromission

Le 14 octobre 2026, Cisco a publié l’avis cisco-sa-esa-afw-zqYJkjxp concernant une faille critique dans la fonction Advanced Malware Protection (AMP) de Cisco Secure Email Gateway. Lorsque le service File Reputation est activé, la passerelle traite incorrectement les pièces jointes aux e-mails : un attaquant non authentifié peut, au moyen d’un e-mail contenant une pièce jointe préparée, écrire des fichiers arbitraires sur le système d’exploitation sous-jacent et exécuter des commandes avec les droits root. La faille porte l’identifiant CVE-2026-76519 et obtient un score CVSS de 9.8. Cisco a été informé de son exploitation active en octobre 2026 ; l’agence américaine CISA a ajouté la faille à son catalogue des vulnérabilités exploitées (KEV) le 14 octobre 2026. Elle est corrigée dans les Content Scanner Tools à partir de la version 25.3.0.5525 ainsi que dans AsyncOS 15.5.5-014 et 16.5.0-780 ; selon Cisco, aucun contournement n’existe.

L’essentiel en bref

Versions concernées et mises à jour

Selon Cisco, un appareil n’est vulnérable que si les deux conditions suivantes sont réunies : File Reputation est activé et attribué à une Mail Policy, et les Content Scanner Tools installés sont antérieurs à 25.3.0.5525. Cisco distribue le correctif via le package Content Scanner Tools pour toutes les versions AsyncOS sous licence et prises en charge ; Cisco indique également des versions AsyncOS corrigées.

Pour les systèmes disposant d’une version d’AsyncOS antérieure à 16.5, Cisco recommande la migration vers 16.5.0-780. Cisco avait déjà indiqué ces mêmes versions d’AsyncOS comme corrigées le 14 septembre 2026 dans l’avis de durcissement cisco-sa-hardening-esa-dfCrfXkm ; cet avis a été complété le 14 octobre 2026 par une référence précisant qu’une faille de traversée de chemin (CWE-23) traitée dans celui-ci est activement exploitée. Toute personne ayant déjà mis à jour vers 15.5.5-014 ou 16.5.0-780 en septembre après la faille CVE-2026-76461 utilise ainsi une version corrigée selon Cisco. Les clients de Cisco Secure Email Cloud Gateway n’ont rien à faire selon l’avis, car Cisco y a déjà déployé les Content Scanner Tools corrigés.

La CLI affiche la version AsyncOS installée avec :

version

La version des Content Scanner Tools s’affiche avec :

contentscannerstatus

Cisco cite Content Scanner Tools 25.2.0.5427.15.5.001 Never updated comme exemple de sortie vulnérable. L’interface web indique si File Reputation est actif, sous Mail Policies > Incoming Mail Policies ou Outgoing Mail Policies, dans Advanced Malware Protection : vérifiez pour chaque politique si Enable File Reputation est activé.

Ce que l’on sait sur l’exploitation

Cisco écrit dans l’avis que le Cisco PSIRT a été informé de l’exploitation active en octobre 2026. Selon l’avis, la faille a été découverte lors d’un test de sécurité interne de Cisco. Les clients de Secure Email Cloud sur les appareils desquels Cisco a identifié de possibles indicateurs de compromission ont été contactés directement ; Cisco indique y travailler à la remédiation et à la restauration.

Ni Cisco ni la CISA ne donnent d’informations sur l’attaquant, le nombre d’organisations touchées ni le début exact des attaques (état au 15 octobre 2026). La CISA indique comme inconnu dans l’entrée KEV si la faille est utilisée dans des campagnes de rançongiciel. La CISA exige des agences fédérales américaines, d’ici au 17 octobre 2026, les mesures du fabricant, un triage forensique et une évaluation de l’accessibilité depuis Internet ; si aucune mesure corrective n’est disponible, le produit doit être mis hors service.

Le vecteur d’attaque est le flux de messagerie habituel : l’e-mail contenant la pièce jointe préparée doit seulement transiter par la passerelle. Bloquer l’interface d’administration depuis Internet n’empêche donc pas l’exploitation.

Mesures immédiates

1. Inventorier : déterminer la version d’AsyncOS avec version, la version du Content Scanner avec contentscannerstatus et l’état de File Reputation dans toutes les Mail Policies. Dans les clusters, cela s’applique à chaque membre.

2. Vérifier toute compromission avant la mise à jour (voir la section suivante) et préserver les données forensiques. Cisco indique qu’une mise à niveau d’une instance virtuelle compromise détruit les données forensiques et les journaux.

3. Mettre à jour les Content Scanner Tools : le correctif est inclus à partir de la version 25.3.0.5525 ; selon Cisco, aucun redémarrage n’est nécessaire. La CLI déclenche manuellement la mise à jour avec :

   contentscannerupdate

   Les mises à jour automatiques peuvent être activées dans l’interface web sous Security Services > Service Updates, via Edit Update Settings ; la modification doit ensuite être appliquée avec Commit. Contrôlez ensuite la version avec contentscannerstatus.

4. Mettre à jour AsyncOS : vers 15.5.5-014 ou 16.5.0-780 ; selon Cisco, migrez les systèmes sous 16.0 et antérieurs vers 16.5.0-780.

5. Réduire l’exposition : Cisco cite dans l’avis des mesures générales de durcissement, dont empêcher l’accès depuis Internet, séparer l’administration et le trafic de messagerie sur des interfaces distinctes, désactiver les services inutiles tels que HTTP et FTP, utiliser une authentification forte (SAML ou LDAP), modifier les mots de passe par défaut et envoyer les journaux vers un serveur externe. Ces mesures réduisent la surface d’attaque, mais ne corrigent pas la faille dans le flux de messagerie. Cisco ne mentionne pas la désactivation de File Reputation comme contournement.

6. Surveiller l’avis : Cisco complète l’avis lorsque de nouvelles informations sont disponibles ; l’historique des révisions figure à la fin de l’avis.

Vérification de compromission

Cisco recommande de vérifier les journaux système sur l’appareil avec la commande suivante :

grep "System Security" system_logs

Cisco interprète les messages possibles comme suit :

Si l’appareil fait partie d’un cluster, Cisco indique que les journaux de chaque membre du cluster doivent être vérifiés. Un résultat sans correspondance ne prouve pas que le système est sain : un attaquant disposant des droits root peut supprimer ou masquer des traces sur l’appareil. Cisco recommande donc de recouper les journaux réseau et de pare-feu externes à l’appareil, en particulier pour détecter des téléversements inhabituels depuis la passerelle vers des adresses IP externes et des téléchargements depuis des adresses IP externes. Cisco ne mentionne dans l’avis aucune adresse IP, aucun nom de fichier ni aucune valeur de hachage spécifique.

Une mise à jour ne supprime pas les modifications déjà effectuées par un attaquant. En cas de suspicion, Cisco recommande selon le déploiement :

1. Appliances physiques : contacter Cisco TAC et laisser l’accès à distance activé sur les appareils concernés afin d’accélérer l’enquête.

2. Appliances virtuelles : sauvegarder d’abord les informations forensiques conformément à vos propres directives de gestion des incidents, déployer une nouvelle machine virtuelle avec une version corrigée, recréer la configuration sans importer d’anciens fichiers de configuration, renouveler les identifiants et tous les éléments cryptographiques, puis continuer à surveiller le système pour détecter les anomalies.

3. Clusters : les membres du cluster s’authentifient mutuellement avec des paires de clés SSH. Les clés privées peuvent être lues sur une appliance compromise, ce qui peut permettre l’accès à d’autres membres du cluster. Cisco recommande de restaurer chaque membre d’un cluster comportant au moins une appliance compromise dans une configuration sécurisée.

4. Secure Email Cloud : selon Cisco, les clients contactés doivent renouveler leurs identifiants et leurs éléments cryptographiques.

Contexte

Sont concernées les organisations qui exploitent Cisco Secure Email Gateway avec File Reputation activé comme passerelle de messagerie devant leur serveur de messagerie. L’attaque passant par le flux de messagerie entrant, toute installation de ce type qui accepte des e-mails externes et utilise encore d’anciens Content Scanner Tools est vulnérable. La passerelle traite tous les messages d’une organisation et conserve des identifiants ainsi que du matériel de clés ; une exécution de commandes en tant que root permet à un attaquant d’accéder aux deux. Selon BleepingComputer, Shadowserver recense près de 300 instances de Cisco Secure Email Gateway accessibles depuis Internet.

CVE-2026-76519 est la deuxième faille exploitée dans Cisco Secure Email Gateway en un mois : en septembre, CVE-2026-76461 concernait le traitement des e-mails d’AsyncOS (CVE-2026-76461 : injection SQL dans Cisco Secure Email Gateway). Selon BleepingComputer, la faille AsyncOS CVE-2025-20393 est par ailleurs exploitée depuis novembre 2025 et a été corrigée en janvier. Le Cyber Centre canadien a alerté le 14 octobre 2026 au sujet de CVE-2026-76519 avec AV26-1042.