CVE-2026-76519: Cisco Secure Email Gateway Path Traversal utnyttjas – uppdatering och kontroll av kompromettering

Cisco publicerade den 14 oktober 2026 advisorn cisco-sa-esa-afw-zqYJkjxp om en kritisk sårbarhet i funktionen Advanced Malware Protection (AMP) i Cisco Secure Email Gateway. Om tjänsten File Reputation är aktiverad behandlar gatewayen e-postbilagor felaktigt: En oautentiserad angripare kan via ett e-postmeddelande med en preparerad bilaga skriva godtyckliga filer på det underliggande operativsystemet och köra kommandon med root-rättigheter. Sårbarheten har beteckningen CVE-2026-76519 och en CVSS-bedömning på 9.8. Cisco fick i oktober 2026 kännedom om aktivt utnyttjande; den amerikanska myndigheten CISA lade till sårbarheten i sin katalog över utnyttjade sårbarheter (KEV) den 14 oktober 2026. Den är åtgärdad med Content Scanner Tools från version 25.3.0.5525 och i AsyncOS 15.5.5-014 och 16.5.0-780; enligt Cisco finns ingen workaround.

Det viktigaste i korthet

Berörda versioner och uppdateringar

En enhet är enligt Cisco endast sårbar om båda villkoren är uppfyllda: File Reputation är aktiverad och tilldelad en Mail Policy, och de installerade Content Scanner Tools är äldre än 25.3.0.5525. Cisco distribuerar korrigeringen via paketet Content Scanner Tools till alla licensierade och stödda AsyncOS-versioner; dessutom anger Cisco korrigerade AsyncOS-versioner.

För system med en AsyncOS-version före 16.5 rekommenderar Cisco migrering till 16.5.0-780. Cisco hade redan den 14 september 2026 angett samma AsyncOS-versioner som korrigerade i hardening-advisorn cisco-sa-hardening-esa-dfCrfXkm; denna advisory kompletterades den 14 oktober 2026 med en hänvisning om att en Path Traversal-sårbarhet (CWE-23) som behandlas där aktivt utnyttjas. Den som redan efter sårbarheten CVE-2026-76461 i september uppdaterade till 15.5.5-014 eller 16.5.0-780 använder därmed en version som enligt Cisco är korrigerad. Kunder med Cisco Secure Email Cloud Gateway behöver enligt advisorn inte göra något, eftersom Cisco redan har distribuerat de korrigerade Content Scanner Tools där.

Den installerade AsyncOS-versionen visas i CLI med:

version

Versionen av Content Scanner Tools visas med:

contentscannerstatus

Som exempel på sårbar utdata nämner Cisco Content Scanner Tools 25.2.0.5427.15.5.001 Never updated. Om File Reputation är aktivt visas i webbgränssnittet under Mail Policies > Incoming Mail Policies respektive Outgoing Mail Policies under Advanced Malware Protection: För varje policy ska det kontrolleras om Enable File Reputation är aktiverat.

Vad som är känt om utnyttjandet

Cisco skriver i advisorn att Cisco PSIRT fick kännedom om det aktiva utnyttjandet i oktober 2026. Enligt advisorn upptäcktes sårbarheten vid ett internt säkerhetstest hos Cisco. Kunder av Secure Email Cloud på vars enheter Cisco har konstaterat möjliga indikatorer på kompromettering kontaktades direkt; Cisco uppger att de arbetar med åtgärd och återställning där.

Varken Cisco eller CISA lämnar uppgifter om angriparen, antalet berörda organisationer eller den exakta tidpunkten då angreppen började (status 15 oktober 2026). Om sårbarheten används i ransomware-kampanjer anges av CISA som okänt i KEV-posten. CISA kräver att amerikanska federala myndigheter senast den 17 oktober 2026 genomför tillverkarens åtgärder, en forensisk triage och en bedömning av åtkomlighet från internet; om ingen åtgärd finns tillgänglig ska produkten tas ur drift.

Angreppsvektorn är det vanliga e-postflödet: E-postmeddelandet med den preparerade bilagan behöver bara passera gatewayen. Att blockera administrationsgränssnittet från internet förhindrar därför inte utnyttjandet.

Omedelbara åtgärder

1. Inventera: Fastställ AsyncOS-versionen med version, Content Scanner-versionen med contentscannerstatus och statusen för File Reputation i alla Mail Policies. För kluster gäller detta varje medlem.

2. Kontrollera kompromettering före uppdateringen (se nästa avsnitt) och säkra forensiska data. Cisco påpekar att en uppgradering av en komprometterad virtuell instans kan förstöra forensiska data och loggar.

3. Uppdatera Content Scanner Tools: Korrigeringen ingår från version 25.3.0.5525, och enligt Cisco krävs ingen omstart. CLI startar uppdateringen manuellt med:

   contentscannerupdate

   Automatiska uppdateringar kan aktiveras i webbgränssnittet under Security Services > Service Updates via Edit Update Settings; ändringen måste därefter tillämpas med Commit. Kontrollera sedan versionen med contentscannerstatus.

4. Uppdatera AsyncOS: till 15.5.5-014 eller 16.5.0-780; system med 16.0 och äldre ska enligt Cisco migreras till 16.5.0-780.

5. Minska exponeringen: Cisco nämner i advisorn allmänna härdningsåtgärder, bland annat att förhindra åtkomst från internet, lägga administration och e-posttrafik på separata gränssnitt, stänga av tjänster som inte behövs, såsom HTTP och FTP, använda stark autentisering (SAML eller LDAP), ändra standardlösenord och skicka loggar till en extern server. Dessa åtgärder minskar angreppsytan men stänger inte sårbarheten i e-postflödet. Cisco nämner inte avaktivering av File Reputation som workaround.

6. Följ advisorn: Cisco kompletterar advisorn vid nya rön; revisionshistoriken finns i slutet av advisorn.

Kontroll av kompromettering

Cisco rekommenderar att kontrollera systemloggarna på enheten med följande kommando:

grep "System Security" system_logs

Cisco klassificerar de möjliga meddelandena så här:

Om enheten ingår i ett kluster måste enligt Cisco loggarna från varje klustermedlem kontrolleras. Ett resultat utan träffar är inget bevis på ett rent system: En angripare med root-rättigheter kan ta bort eller dölja spår på enheten. Cisco rekommenderar därför att jämföra nätverks- och brandväggsloggar utanför enheten, särskilt med avseende på misstänkta uppladdningar från gatewayen till externa IP-adresser och nedladdningar från externa IP-adresser. Cisco anger inga konkreta IP-adresser, filnamn eller hashvärden i advisorn.

En uppdatering tar inte bort ändringar som en angripare redan har gjort. Vid misstanke rekommenderar Cisco följande beroende på driftsättning:

1. Fysiska appliances: kontakta Cisco TAC och låt fjärråtkomsten till de berörda enheterna vara aktiverad så att undersökningen kan genomföras snabbare.

2. Virtuella appliances: säkra först forensisk information enligt egna incidentriktlinjer, driftsätt en ny virtuell maskin med en korrigerad version, bygg om konfigurationen utan att importera tidigare konfigurationsfiler, förnya inloggningsuppgifter och allt kryptografiskt material samt fortsätt övervaka systemet för avvikelser.

3. Kluster: Klustermedlemmarna autentiserar varandra med SSH-nyckelpar. På en komprometterad appliance kan de privata nycklarna läsas ut, vilket kan möjliggöra åtkomst till ytterligare klustermedlemmar. Cisco rekommenderar att varje medlem i ett kluster med minst en komprometterad appliance återställs till en säker konfiguration.

4. Secure Email Cloud: Kontaktade kunder ska enligt Cisco förnya inloggningsuppgifter och kryptografiskt material.

Bedömning

Berörda är organisationer som använder Cisco Secure Email Gateway med aktiverad File Reputation som e-postgateway framför sin e-postserver. Eftersom angreppet sker via det inkommande e-postflödet är varje sådan installation sårbar som tar emot e-post utifrån och fortfarande använder äldre Content Scanner Tools. Gatewayen behandlar samtliga meddelanden i en organisation och innehåller inloggningsuppgifter och nyckelmaterial; kommandoexekvering som root ger en angripare åtkomst till båda. Enligt BleepingComputer registrerar Shadowserver knappt 300 instanser av Cisco Secure Email Gateway som är åtkomliga från internet.

CVE-2026-76519 är den andra utnyttjade sårbarheten i Cisco Secure Email Gateway inom en månad: I september gällde CVE-2026-76461 e-postbehandlingen i AsyncOS (CVE-2026-76461: Cisco Secure Email Gateway SQL-Injection). Enligt BleepingComputer har dessutom AsyncOS-sårbarheten CVE-2025-20393 utnyttjats sedan november 2025 och patchades i januari. Canadian Cyber Centre varnade den 14 oktober 2026 för CVE-2026-76519 med AV26-1042.