Aktualizované: Cisco potvrdilo aktívne zneužívanie kritickej chyby v Secure Email Gateway
Cisco potvrdilo aktívne zneužívanie CVE-2026-76461 v Secure Email Gateway. Chyba môže cez špeciálne vytvorený e-mail umožniť neautentifikované spúšťanie príkazov s právami root.
Zraniteľnosť Secure Email Gateway CVE-2026-76461 je podľa výrobcu aktívne zneužívaná. Cisco 14. septembra 2026 zverejnilo advisory ku kritickej SQL injection chybe v parsovaní e-mailov v AsyncOS pre Cisco Secure Email Gateway. Cisco uvádza, že neautentifikovaný vzdialený útočník môže cez špeciálne vytvorený e-mail spúšťať príkazy s právami root.
Cisco PSIRT potvrdilo, že o aktívnom zneužívaní zraniteľnosti sa dozvedelo v septembri 2026. Zraniteľnosť má skóre CVSS 9,8 a týka sa fyzických aj virtuálnych appliance Cisco Secure Email Gateway bez ohľadu na konfiguráciu.
Zraniteľnosť Secure Email Gateway môže viesť k root prístupu
Chyba sa nachádza v parsovaní e-mailových správ v AsyncOS. Podľa Cisco neautentifikovaný vzdialený útočník môže na zneužitie použiť špeciálne vytvorený e-mail odoslaný dotknutej bráne. Úspešné zneužitie môže viesť k vykonávaniu príkazov s najvyššími systémovými právami.
Root prístup zároveň komplikuje vyšetrovanie možného incidentu. Cisco upozorňuje, že útočník s takýmito oprávneniami môže v appliance odstrániť alebo skryť stopy svojej činnosti. Výrobca preto zverejnil indikátory kompromitácie a prevádzkovateľom odporúča preveriť nielen lokálne logy zariadenia, ale aj externé sieťové záznamy.
Dostupné sú tri opravné vydania
Cisco vydalo opravy v nasledujúcich verziách AsyncOS:
- 15.5.5-014,
- 16.0.4-302,
- 16.5.0-780.
Pre CVE-2026-76461 Cisco neuvádza workaround. Prevádzkovatelia vlastných fyzických a virtuálnych Secure Email Gateway by preto mali urýchlene identifikovať používanú verziu a nasadiť príslušné opravné vydanie. Cloudové zariadenia Cisco Secure Email Cloud už boli aktualizované na verziu 16.5.0-780.
Secure Email and Web Manager ani Secure Web Appliance podľa Cisco nie sú touto chybou dotknuté.
Nová chyba je oddelená od skorších S/MIME nedostatkov
Aktívne zneužívaná CVE-2026-76461 je samostatná chyba oproti zraniteľnostiam CVE-2026-20354 a CVE-2026-20355, o ktorých Cisco informovalo začiatkom septembra. Pri týchto skorších chybách nebolo známe škodlivé zneužitie, zatiaľ čo CVE-2026-76461 je podľa Cisco aktívne zneužívaná.
Čo preveriť po aktualizácii
- overiť, či organizácia prevádzkuje fyzickú alebo virtuálnu Cisco Secure Email Gateway;
- zistiť verziu AsyncOS a aktualizovať na príslušné opravné vydanie;
- porovnať logy a externé sieťové záznamy s indikátormi kompromitácie zverejnenými spoločnosťou Cisco;
- sledovať ďalšie aktualizácie advisory, technické podrobnosti kampane a prípadné nové indikátory kompromitácie.
Verejne zatiaľ nie sú potvrdené identita útočníkov, rozsah kampane ani počet kompromitovaných on-premises zariadení. BleepingComputer uvádza možné zaradenie chyby do katalógu CISA KEV, no túto informáciu sa nepodarilo priamo nezávisle overiť v primárnom zdroji CISA.
Zdroje
- Cisco Secure Email Gateway SQL Injection Vulnerability – Potvrdzuje CVE-2026-76461, aktívne zneužívanie, dopad na fyzické a virtuálne Secure Email Gateway, root RCE, opravené verzie, absenciu workaroundu, indikátory kompromitácie a stav cloudových zariadení.
- Cisco Secure Email Gateway and Secure Email and Web Manager Security Hardening Release: September 2026 – Potvrdzuje, že CVE-2026-76461 je samostatne odlíšená od skupiny ďalších septembrových hardeningových opráv a že jedna chyba v tejto oblasti je aktívne zneužívaná.
- Cisco patches Secure Email Gateway zero-day exploited in attacks – Nezávisle sumarizuje upozornenie Cisco, vydané opravy a uvádza aj zaradenie chyby do CISA KEV, ktoré však nie je v tomto overení primárne potvrdené.
Overené a aktualizované: 15. 09. 2026 15:25
