CVE-2026-76519: Cisco Secure Email Gateway Path Traversal utnyttes – oppdater og kontroller for kompromittering

Cisco publiserte 14. oktober 2026 sikkerhetsrådet cisco-sa-esa-afw-zqYJkjxp om en kritisk sårbarhet i funksjonen Advanced Malware Protection (AMP) i Cisco Secure Email Gateway. Hvis tjenesten File Reputation er aktivert, behandler gatewayen e-postvedlegg feil: En uautentisert angriper kan via en e-post med et manipulert vedlegg skrive vilkårlige filer til det underliggende operativsystemet og kjøre kommandoer med root-rettigheter. Sårbarheten har identifikatoren CVE-2026-76519 og en CVSS-vurdering på 9.8. Cisco fikk kjennskap til aktiv utnyttelse i oktober 2026; den amerikanske myndigheten CISA la 14. oktober 2026 sårbarheten til i katalogen over utnyttede sårbarheter (KEV). Den er rettet i Content Scanner Tools fra versjon 25.3.0.5525 og i AsyncOS 15.5.5-014 og 16.5.0-780; ifølge Cisco finnes det ingen midlertidig løsning.

Det viktigste kort oppsummert

Berørte versjoner og oppdateringer

Ifølge Cisco er en enhet bare sårbar når begge betingelsene er oppfylt: File Reputation er aktivert og tilordnet en Mail Policy, og de installerte Content Scanner Tools er eldre enn 25.3.0.5525. Cisco distribuerer rettelsen gjennom pakken Content Scanner Tools til alle lisensierte og støttede AsyncOS-versjoner; i tillegg oppgir Cisco rettede AsyncOS-versjoner.

For systemer med en AsyncOS-versjon før 16.5 anbefaler Cisco migrering til 16.5.0-780. Cisco oppførte allerede de samme AsyncOS-versjonene som rettet i hardening-sikkerhetsrådet cisco-sa-hardening-esa-dfCrfXkm 14. september 2026; dette sikkerhetsrådet ble 14. oktober 2026 supplert med en henvisning om at en Path Traversal-sårbarhet (CWE-23) behandlet der, utnyttes aktivt. De som allerede oppdaterte til 15.5.5-014 eller 16.5.0-780 etter sårbarheten CVE-2026-76461 i september, har dermed en versjon som ifølge Cisco er rettet. Kunder av Cisco Secure Email Cloud Gateway trenger ifølge sikkerhetsrådet ikke å gjøre noe, fordi Cisco allerede har distribuert de rettede Content Scanner Tools der.

Den installerte AsyncOS-versjonen vises i CLI med:

version

Versjonen av Content Scanner Tools vises med:

contentscannerstatus

Som eksempel på sårbar utdata oppgir Cisco Content Scanner Tools 25.2.0.5427.15.5.001 Never updated. Om File Reputation er aktivert, vises i webgrensesnittet under Mail Policies > Incoming Mail Policies eller Outgoing Mail Policies under Advanced Malware Protection: For hver policy må det kontrolleres om Enable File Reputation er aktivert.

Hva som er kjent om utnyttelsen

Cisco skriver i sikkerhetsrådet at Cisco PSIRT fikk kjennskap til aktiv utnyttelse i oktober 2026. Ifølge sikkerhetsrådet ble sårbarheten funnet under en intern sikkerhetstest hos Cisco. Kunder av Secure Email Cloud der Cisco har fastslått mulige indikatorer på kompromittering på enhetene, ble kontaktet direkte; Cisco oppgir at de arbeider med utbedring og gjenoppretting der.

Verken Cisco eller CISA oppgir noe om angriperen, antall berørte organisasjoner eller nøyaktig når angrepene begynte (per 15. oktober 2026). CISA oppgir som ukjent i KEV-oppføringen om sårbarheten brukes i ransomware-kampanjer. CISA krever at amerikanske føderale myndigheter innen 17. oktober 2026 gjennomfører produsentens tiltak, en forensisk triage og en vurdering av tilgjengelighet fra internett; dersom ingen utbedring er tilgjengelig, må produktet tas ut av drift.

Angrepsveien er den vanlige e-postflyten: E-posten med det manipulerte vedlegget trenger bare å passere gjennom gatewayen. Å blokkere administrasjonsgrensesnittet mot internett hindrer derfor ikke utnyttelse.

Umiddelbare tiltak

1. Kartlegg beholdningen: Fastslå AsyncOS-versjon med version, Content Scanner-versjon med contentscannerstatus og status for File Reputation i alle Mail Policies. For klynger gjelder dette hvert medlem.

2. Kontroller for kompromittering før oppdatering (se neste avsnitt) og sikre forensiske data. Cisco påpeker at oppgradering av en kompromittert virtuell instans ødelegger forensiske data og logger.

3. Oppdater Content Scanner Tools: Rettelsen er inkludert fra versjon 25.3.0.5525, og ifølge Cisco er omstart ikke nødvendig. CLI utløser oppdateringen manuelt med:

   contentscannerupdate

   Automatiske oppdateringer kan aktiveres i webgrensesnittet under Security Services > Service Updates via Edit Update Settings; endringen må deretter bekreftes med Commit. Kontroller deretter versjonen med contentscannerstatus.

4. Oppdater AsyncOS: til 15.5.5-014 eller 16.5.0-780; systemer på 16.0 og eldre skal ifølge Cisco migreres til 16.5.0-780.

5. Reduser eksponeringen: Cisco nevner generelle herdings­tiltak i sikkerhetsrådet, blant annet å hindre tilgang fra internett, legge administrasjon og e-posttrafikk på separate grensesnitt, deaktivere unødvendige tjenester som HTTP og FTP, bruke sterk autentisering (SAML eller LDAP), endre standardpassord og sende logger til en ekstern server. Disse tiltakene reduserer angrepsflaten, men lukker ikke sårbarheten i e-postflyten. Cisco omtaler ikke deaktivering av File Reputation som en midlertidig løsning.

6. Følg med på sikkerhetsrådet: Cisco oppdaterer sikkerhetsrådet ved ny informasjon; revisjonshistorikken finnes nederst i sikkerhetsrådet.

Kontroll for kompromittering

Cisco anbefaler å kontrollere systemloggene på enheten med følgende kommando:

grep "System Security" system_logs

Cisco vurderer de mulige meldingene slik:

Hvis enheten er del av en klynge, må loggene fra hvert klyngemedlem kontrolleres ifølge Cisco. Et resultat uten treff er ikke bevis på et rent system: En angriper med root-rettigheter kan fjerne eller skjule spor på enheten. Cisco anbefaler derfor å sammenligne nettverks- og brannmurlogger utenfor enheten, særlig for mistenkelige opplastinger fra gatewayen til eksterne IP-adresser og nedlastinger fra eksterne IP-adresser. Cisco oppgir ingen konkrete IP-adresser, filnavn eller hashverdier i sikkerhetsrådet.

En oppdatering fjerner ikke endringer som en angriper allerede har utført. Ved mistanke anbefaler Cisco følgende, avhengig av distribusjon:

1. Fysiske appliances: Kontakt Cisco TAC og la ekstern tilgang være aktivert på de berørte enhetene, slik at undersøkelsen kan gå raskere.

2. Virtuelle appliances: Sikre først forensisk informasjon i tråd med egne hendelsesretningslinjer, klargjør en ny virtuell maskin med en rettet versjon, bygg opp konfigurasjonen på nytt uten å importere tidligere konfigurasjonsfiler, forny tilgangsdata og alt kryptografisk materiale, og overvåk systemet videre for avvik.

3. Klynger: Klyngemedlemmene autentiserer seg mot hverandre med SSH-nøkkelpar. På en kompromittert appliance kan de private nøklene leses ut, noe som kan muliggjøre tilgang til flere klyngemedlemmer. Cisco anbefaler å tilbakestille hvert medlem av en klynge med minst én kompromittert appliance til en sikker konfigurasjon.

4. Secure Email Cloud: Kontaktede kunder skal ifølge Cisco fornye tilgangsdata og kryptografisk materiale.

Vurdering

Berørt er organisasjoner som bruker Cisco Secure Email Gateway med aktivert File Reputation som e-postgateway foran e-postserveren sin. Fordi angrepet går via innkommende e-postflyt, er enhver slik installasjon angrepsbar dersom den mottar e-post utenfra og fortsatt bruker eldre Content Scanner Tools. Gatewayen behandler alle meldingene i en organisasjon og oppbevarer tilgangsdata og nøkkelmateriale; kommandokjøring som root gir en angriper tilgang til begge deler. Ifølge BleepingComputer registrerer Shadowserver nesten 300 internett-tilgjengelige instanser av Cisco Secure Email Gateway.

CVE-2026-76519 er den andre utnyttede sårbarheten i Cisco Secure Email Gateway innen én måned: I september gjaldt CVE-2026-76461 e-postbehandlingen i AsyncOS (CVE-2026-76461: Cisco Secure Email Gateway SQL-injeksjon). Ifølge BleepingComputer har AsyncOS-sårbarheten CVE-2025-20393 dessuten blitt utnyttet siden november 2025 og ble patchet i januar. Canadian Cyber Centre advarte 14. oktober 2026 om CVE-2026-76519 med AV26-1042.