Vulnérabilité critique dans Cisco Secure Email Gateway
.png)
Produits concernés
• Cisco Secure Email Gateway (physique et virtuel) sous AsyncOS 16.5 versions antérieures à 16.5.0-780
• Cisco Secure Email Gateway (physique et virtuel) sous AsyncOS 16.0, toutes versions
• Cisco Secure Email Gateway (physique et virtuel) sous AsyncOS 15.5 versions antérieures à 15.5.5-014
• Content Scanner Tools versions antérieures à 25.3.0.5525
Prérequis
• Service File Reputation (AMP) activé et assigné à au moins une politique de messagerie
• Content Scanner Tools en version antérieure à 25.3.0.5525
• Capacité à envoyer un email transitant par la passerelle
Risques
• Exécution de code arbitraire
• Accès au réseau interne de l'entreprise
• Exploitation d'informations d'identification
• Déploiement de malware sur l'actif
Résumé
Une vulnérabilité critique de type "Exécution de code arbitraire" affectant la solution Cisco Secure Email Gateway a récemment été publiée par l'éditeur Cisco le 14 octobre 2026.
La solution Cisco Secure Email Gateway est une passerelle de sécurité de la messagerie assurant le filtrage des emails entrants et sortants (antispam, antivirus, analyse des pièces jointes).
• CVE-2026-76519 : Une vulnérabilité de type traversée de répertoire dans le traitement des pièces jointes par la fonctionnalité Advanced Malware Protection de la solution Cisco Secure Email Gateway pourrait permettre à un attaquant distant non authentifié d'écrire des fichiers arbitraires et d'exécuter des commandes avec les privilèges root, par le simple envoi d'un email contenant une pièce jointe spécialement conçue. L'exploitation de cette CVE pourrait permettre à l'attaquant de prendre le contrôle de la passerelle, d'accéder aux clés SSH privées utilisées entre les membres d'un cluster et de compromettre l'ensemble des passerelles de ce cluster.
Cette vulnérabilité est activement exploitée selon l'éditeur. Elle a été ajoutée au catalogue KEV de la CISA.
Étant donné le risque associé, nous préconisons de corriger cette vulnérabilité sans plus attendre pour toute machine exposée sur Internet.
Solutions
Détection de la compromission :
Afin de vérifier si un équipement est concerné ou compromis, vous pouvez :
• Vérifier si l'option "Enable File Reputation" est cochée dans Mail Policies > Incoming Mail Policies (et Outgoing Mail Policies) > Advanced Malware Protection
• Vérifier la version de Content Scanner Tools avec la commande CLI contentscannerstatus
• Exécuter la commande grep "System Security" system_logs sur chaque membre du cluster : en cas de résultat indiquant une compromission suspectée, appliquer la procédure de restauration de l'éditeur ; si l'analyse ne s'est pas terminée, contacter le TAC Cisco
• Analyser les journaux réseau et pare-feu en dehors de l'équipement à la recherche d'envois inattendus vers des adresses IP externes ou de téléchargements depuis des adresses malveillantes
Un attaquant disposant des privilèges root pouvant effacer ses traces, un résultat négatif sur l'équipement ne garantit pas l'absence de compromission.
Remédiation
Mettre à jour Content Scanner Tools vers la version 25.3.0.5525 ou ultérieure, via la commande contentscannerupdate ou en activant les mises à jour automatiques dans Security Services > Service Updates. Cette mise à jour corrige la vulnérabilité sur toutes les versions d'AsyncOS supportées et ne nécessite pas de redémarrage.
Mettre également à jour AsyncOS vers les versions :
• 16.5.0-780 et ultérieures
• 15.5.5-014 et ultérieures de la branche 15.5
Aucune version corrigée n'est prévue pour la branche 16.0 : l'éditeur recommande de migrer vers la version 16.5.0-780.
Les clients de Cisco Secure Email Cloud Gateway n'ont pas d'action à réaliser, le correctif ayant été déployé par l'éditeur.
Mitigation
Aucune mitigation n'est disponible selon l'éditeur. Il est recommandé de restreindre l'accès aux interfaces d'administration de la passerelle aux seuls hôtes de confiance.
Restez informés des dernières menaces !
Recevez les alertes de sécurité critiques et nos conseils pour protéger votre entreprise.
