Обзор
14 сентября 2026 года компания Cisco опубликовала advisory безопасности для CVE-2026-76461, критической уязвимости типа «SQL-инъекция», затрагивающей программное обеспечение Cisco AsyncOS для Cisco Secure Email Gateway. Уязвимости присвоена базовая оценка CVSS v3.1, равная 9.8, и она может позволить неавторизованному удаленному злоумышленнику выполнять произвольные команды с привилегиями root на затронутом устройстве.
Cisco Secure Email Gateway, ранее известный как IronPort Email Security Appliance, представляет собой корпоративный продукт для обеспечения безопасности электронной почты, который проверяет входящую и исходящую почту на наличие угроз, включая фишинг, вредоносное ПО, спам и компрометацию деловой переписки. Поскольку затронутые шлюзы обрабатывают внешнюю электронную почту в рамках своей обычной работы, для эксплуатации не требуется доступ к административному интерфейсу или аутентификация. Сообщается, что злоумышленник может вызвать уязвимость, отправив специально сформированное электронное письмо через уязвимый шлюз.
CVE-2026-76461 была added в каталог известных эксплуатируемых уязвимостей CISA (KEV) в тот же день, когда вендор раскрыл информацию об уязвимости, что указывает на то, что CVE-2026-76461 эксплуатировалась как уязвимость нулевого дня до момента раскрытия. В Cisco отметили, что их группа PSIRT узнала об активной эксплуатации в сентябре 2026 года. На момент публикации общедоступного кода эксплойта не существует, а атрибуция текущей активности злоумышленников отсутствует.
Рекомендации по устранению
Организациям, использующим Cisco Secure Email Gateway, следует в экстренном порядке, вне обычных циклов обновления, установить исправленную версию, предоставленную вендором.
Затронутая версия
Исправленная версия
15.5 и более ранние
15.5.5-014
16.0
16.0.4-302
16.5
16.5.0-780
Учитывая сообщения об активной эксплуатации и возможность выполнения команд с правами root без аутентификации путем обработки вредоносных электронных писем, организациям следует уделить первостепенное внимание исправлению уязвимости, а не полагаться исключительно на сетевые средства контроля или мониторинг. Cisco также настоятельно рекомендует клиентам перейти на последнюю версию продукта — 16.5.0-780.
Для получения актуальных рекомендаций по устранению обратитесь к вендора.
Индикаторы компрометации
Следующие индикаторы компрометации для CVE-2026-76461 были указаны в безопасности Cisco.
Чтобы подтвердить попытки эксплуатации этой уязвимости, проверьте mail_logs на наличие подозрительных SQL-запросов. Если устройство является частью кластера, проверьте журналы каждого устройства в кластере. Ниже приведен неисчерпывающий пример того, как вредоносный SQL-запрос может быть обнаружен в журналах: cisco-esa> grep -i "COPY.*TO PROGRAM" [Имя журнала IronPort Text Mail Logs - по умолчанию: mail_logs] Наличие любой записи в выводе может указывать на вредоносную активность.
Клиенты Rapid7
Exposure Command, InsightVM и Nexpose
Клиенты Exposure Command, InsightVM и Nexpose могут оценить подверженность CVE-2026-76461 с помощью проверки на уязвимости, которая, как ожидается, будет доступна в выпуске контента от 16 сентября.
Обновления
- 15 сентября 2026 г.: Первичная публикация.
15 сентября 2026 г.: Первичная публикация.
