Celah Cisco AsyncOS: patch belum menutup jejak serangan

Peringatan CSA Singapore tanggal 18 September 2026 menyebut CVE-2026-76461 sedang dieksploitasi aktif pada Cisco AsyncOS untuk Cisco Secure Email Gateway. Email yang dibuat khusus dapat memicu injeksi SQL tanpa autentikasi dan berujung pada eksekusi perintah dengan hak root.

Administrator perlu segera memasang versi perbaikan, tetapi patch tidak dapat membuktikan bahwa gateway belum disusupi sebelumnya. Karena akses root dapat dipakai untuk menyembunyikan atau menghapus indikator, triase harus mencakup pengamanan bukti, pemeriksaan mail_logs dan telemetri eksternal, serta pemulihan berbeda untuk perangkat fisik, virtual, cloud, dan cluster.

Versi terdampak dan batas minimum yang aman

Kerentanan berada pada logika penguraian email dan memengaruhi Cisco Secure Email Gateway fisik maupun virtual tanpa bergantung pada konfigurasi perangkat. Secure Email and Web Manager serta Secure Web Appliance tidak termasuk produk yang dinyatakan terdampak.

Advisori Cisco yang diperbarui pada 17 September 2026 memberi skor CVSS 9,8, menyatakan tidak ada workaround, dan menetapkan rilis perbaikan pertama sebagai berikut:

AsyncOS 15.5 dan versi lebih lama: 15.5.5-014.
AsyncOS 16.0: 16.0.4-302.
AsyncOS 16.5: 16.5.0-780.

Perangkat yang masih memakai cabang sebelum 16.5 sebaiknya dimigrasikan ke 16.5.0-780. Seluruh appliance dalam Cisco Secure Email Cloud telah ditingkatkan ke rilis itu, sedangkan penerapan lokal harus diperiksa per perangkat dan per anggota cluster.

Simpan bukti sebelum upgrade atau reboot

Pemeriksaan awal berfokus pada mail_logs dan pernyataan SQL mencurigakan. Contoh pola yang dipublikasikan adalah COPY.*TO PROGRAM; kemunculannya dapat menunjukkan aktivitas berbahaya, tetapi contoh tersebut tidak lengkap sehingga hasil pencarian kosong bukan bukti bahwa appliance bersih.

Salin log dan informasi forensik sebelum upgrade, reboot, atau pembuatan instance pengganti. Hak root memungkinkan pelaku mengubah bukti lokal, sehingga catatan dari firewall, DNS, proksi, autentikasi, dan penyimpanan log di luar appliance diperlukan untuk mencari koneksi keluar, unggahan tak terduga, atau unduhan dari alamat berbahaya pada periode yang sama.

Inventarisasi seluruh Secure Email Gateway, jenis penerapan, versi AsyncOS, peran, dan keanggotaan cluster.
Simpan mail_logs, log sistem, konfigurasi, waktu pengambilan, dan asal bukti sesuai prosedur penanganan insiden organisasi.
Periksa log setiap anggota cluster, bukan hanya node yang pertama kali menunjukkan anomali.
Korelasikan bukti lokal dengan telemetri jaringan yang disimpan di luar perangkat.
Pasang rilis perbaikan, lalu lanjutkan sebagai dugaan kompromi jika ditemukan indikator atau cakupan log tidak memadai.

Pemulihan berbeda menurut jenis appliance

Perangkat fisik: jika eksploitasi dicurigai, hubungi Cisco Technical Assistance Center dan pertahankan bukti yang tersedia. Akses jarak jauh dapat disiapkan apabila kebijakan organisasi mengizinkannya, tetapi keberhasilan upgrade tidak boleh dipakai sebagai tanda bahwa sistem sebelumnya bersih.

Perangkat virtual: rekam informasi forensik terlebih dahulu karena penerapan instance baru akan menghilangkan konfigurasi dan log pada mesin lama. Setelah bukti diamankan, buat mesin virtual baru menggunakan rilis yang telah diperbaiki, bangun ulang konfigurasi, perbarui kredensial dan materi kriptografi, lalu pantau perilaku anomali.

Cluster: pasangan kunci SSH dipakai untuk autentikasi antaranggotanya. Akses root pada satu appliance dapat membuka kunci privat tersebut dan memperluas kompromi, sehingga setiap anggota dalam cluster yang memuat setidaknya satu perangkat terkompromi perlu dipulihkan ke konfigurasi aman.

Cisco Secure Email Cloud: administrator tanpa akses CLI mungkin tidak dapat memeriksa indikator yang sama secara mandiri. Pelanggan yang telah dihubungi karena ditemukan aktivitas berbahaya perlu mengikuti koordinasi remediasi dan memperbarui kredensial serta materi kriptografi yang dapat terpapar.

Ganti rahasia hanya pada lingkungan tepercaya

Rotasi perlu mencakup lebih dari kata sandi administrator. Ruang lingkupnya dapat meliputi akun lokal, kredensial integrasi dan direktori, rahasia relay, sertifikat beserta kunci privat, pasangan kunci SSH cluster, dan materi lain yang tersimpan atau dapat dibaca dari appliance.

Urutannya penting: amankan bukti dan batasi akses berisiko, pulihkan atau bangun ulang perangkat, kemudian terbitkan rahasia pengganti. Memasukkan kredensial baru ke instance yang masih dicurigai dapat mengeksposnya kembali.

Eksploitasi dikonfirmasi, tetapi skala serangan belum terbuka

Analisis Rapid7 yang terbit pada 15 September 2026 mencatat bahwa CVE tersebut masuk katalog Known Exploited Vulnerabilities CISA pada hari pengungkapan vendor. Pada saat publikasi itu, belum tersedia kode proof-of-concept publik dan belum ada atribusi terhadap pelaku tertentu.

Identitas pelaku dan jumlah organisasi terdampak belum dipublikasikan secara menyeluruh. Kondisi yang telah dipastikan adalah tidak tersedianya workaround, adanya eksploitasi aktif, dan kemungkinan bukti lokal disembunyikan setelah akses root diperoleh; karena itu, keputusan mempertahankan atau membangun ulang appliance harus bertumpu pada bukti forensik dan telemetri eksternal, bukan status patch semata.

Celah Cisco AsyncOS memberi akses root—patch belum menutup jejak serangan