Cisco имэйлийн 9.8 цоорхой идэвхтэй ашиглагдаж байна

Cisco 2026 оны 10 дугаар сарын 14-нд нийтэлсэн аюулгүй байдлын мэдэгдэлдээ Secure Email Gateway-ийн CVE-2026-76519 цоорхойг CVSS 9.8 гэж үнэлж, бодит халдлагад ашиглагдаж байгааг мэдээлэв. Тусгайлан бэлтгэсэн имэйл хавсралт өртсөн төхөөрөмжөөр дамжихад нэвтрээгүй этгээд үндсэн үйлдлийн системд дурын файл бичиж, root эрхээр команд ажиллуулах боломжтой.

Канадын Кибер аюулгүй байдлын төвийн анхааруулгад CISA энэ CVE-г 2026 оны 10 дугаар сарын 14-нд Known Exploited Vulnerabilities бүртгэлд нэмснийг тэмдэглэж, AsyncOS-ийн 15.5 салаанд 15.5.5-014, 16.5 салаанд 16.5.0-780 хувилбарыг засварын босгоор дурджээ. Монголын байгууллагын админд өртсөн эсэхийг шийдэх гол шалгуур нь File Reputation имэйлийн бодлогод идэвхтэй эсэх, Content Scanner Tools-ийн суусан хувилбар, төхөөрөмжийн лог юм.

Ямар Secure Email Gateway өртөх вэ

Цоорхой нь физик болон виртуал Secure Email Gateway-д хамаарах боловч төхөөрөмж бүр автоматаар өртсөн гэсэн үг биш. Эмзэг AsyncOS ажиллаж байх, AMP-ийн File Reputation үйлчилгээг имэйлийн бодлогод оноосон байх, Content Scanner Tools 25.3.0.5525-аас өмнөх хувилбартай байх нөхцөл хамтдаа биелнэ. Энэ гурвыг тус тусад нь тогтоох шаардлагатай: AsyncOS-ийн дугаар дангаараа сканнерын багц шинэчлэгдсэн эсэхийг харуулахгүй.

Удирдлагын веб хэсэгт Mail Policies цэсний Incoming Mail Policies эсвэл Outgoing Mail Policies дотроос Advanced Malware Protection тохиргоог нээж, бодлого бүрийн Enable File Reputation сонголтыг үзнэ. Үйлчилгээ ерөнхийдөө боломжтой байх нь хангалтгүй; бодит имэйлийн бодлогод идэвхтэй оноогдсон байх нь өртөх нөхцөлийн нэг юм. Ирж буй болон гарч буй имэйлийн бодлогыг хоёуланг нь хамруулбал идэвхтэй замыг орхигдуулахгүй.

CLI-ийн contentscannerstatus команд суусан Content Scanner Tools-ийн хувилбарыг харуулна. Автомат шинэчлэл асаалттай эсэхийг харах нь хэрэгтэй ч багц аль хэдийн суусан гэж дүгнэх үндэслэл болохгүй; командын үр дүнг засварын босготой харьцуулна. Кластерын зангилаанууд ижил бодлого ашиглаж байсан ч сканнерын төлөвийг зангилаа бүр дээр тэмдэглэх нь алдаа гаргах эрсдэлийг багасгана.

Cisco Secure Email Cloud Gateway-ийн орчинд засвартай Content Scanner Tools багцыг үйлчилгээний хэвийн шинэчлэлээр аль хэдийн байршуулсан. Энэ мэдээлэл байгууллага өөрөө удирддаг физик болон виртуал Secure Email Gateway-ийн төлөвийг орлохгүй. Түүнчлэн Secure Email and Web Manager, Secure Web Appliance нь энэ CVE-д өртөх бүтээгдэхүүний жагсаалтад ороогүй.

Лог дахь шинж тэмдэг юу хэлэх вэ

Өртсөн байж болох төхөөрөмж дээрх system_logs файлыг CLI-ийн grep "System Security" system_logs командаар шалгана. Кластер ашигладаг бол зангилаа бүрийн үр дүнг хадгалж, аль төхөөрөмжөөс авсныг ялган тэмдэглэх хэрэгтэй. Ингэснээр засвар хийхээс өмнөх төлөв болон сэргээсний дараах төлөвийг хооронд нь андуурахгүй.

«Suspected compromise indicator was found» гэсэн мөр нь халдлагын шинж илэрснийг зааж, Cisco TAC-тай холбогдох болон төхөөрөмжийг сэргээх ажиллагаанд шилжих үндэслэл болно. «Security scan did not complete» гэсэн мөр гарвал шалгалт дуусаагүй тул TAC-ийн дэмжлэг авах шаардлагатай. Харин «No compromise indicator was found» гэдэг нь тухайн шалгалтаар шинж илрээгүйг илэрхийлэх бөгөөд эмзэг хувилбартай төхөөрөмжийг шинэчлэх шаардлагыг арилгахгүй.

Root эрх олж авсан халдагч төхөөрөмж доторх мөрөө арилгах эсвэл нуух боломжтой. Тиймээс төхөөрөмжөөс гадна хадгалсан сүлжээ, галт ханын логийг тулгаж, өртсөн төхөөрөмжөөс гаднын IP хаяг руу санаандгүй өгөгдөл илгээсэн эсэх, сэжигтэй хаягаас файл татсан эсэхийг харна. Логийн ийм харьцуулалт нь зөвхөн төхөөрөмжийн өөрийн шалгалтад түшиглэхээс илүү өргөн дүр зураг өгнө.

Засварын босго ба шинэчлэх хоёр зам

AsyncOS-ийн 15.5 салааны эхний засвартай хувилбар 15.5.5-014, 16.5 салааных 16.5.0-780 юм. 16.0 салаанд засвартай хувилбарын дугаар заагаагүй тул засвартай салаа руу шилжих шаардлагатай. 16.5-аас өмнөх AsyncOS ашиглаж буй байгууллагад 16.5.0-780 руу шилжих зөвлөмж өгсөн бөгөөд төхөөрөмжийн дэмжлэг, өөрчлөлтийн цонхыг үүнтэй уялдуулна.

Өөр нэг зам нь лицензтэй, дэмжигдсэн AsyncOS дээр Content Scanner Tools-ийн 25.3.0.5525 буюу түүнээс хойших багцыг суулгах юм. Энэ багц цоорхойн засварыг агуулдаг бөгөөд AsyncOS-ийг бүхэлд нь шинэчлэх, төхөөрөмжийг дахин асаах шаардлагагүй. Автомат шинэчлэл хэрэгжээгүй эсвэл унтраалттай бол CLI-ийн contentscannerupdate командаар багцыг татаж, дараа нь contentscannerstatus командаар суусан хувилбарыг дахин уншина.

Энэ цоорхойг арилгах түр workaround байхгүй. File Reputation-ийг бодлогоос салгаснаар өртөх нөхцөл өөрчлөгдөх ч үүнийг засвартай хувилбар суулгасантай адилтгаж болохгүй. Шинэчлэлийн дараа бодлого, AsyncOS болон сканнерын төлөвийг дахин бүртгэснээр аль төхөөрөмж засвартай болсон нь тодорхой үлдэнэ.

Халдлагын сэжигтэй төхөөрөмжийг яаж сэргээх вэ

Шинэчлэх дараалал нь логийн үр дүнгээс хамаарна. Халдлагын шинж илрээгүй, харин өртөх тохиргоотой төхөөрөмжид засвартай AsyncOS эсвэл дэмжигдсэн сканнерын багцыг суулгана. Халдлагын шинж илэрсэн төхөөрөмжид нотлох баримтыг эхэлж хадгалах нь чухал: өртсөн виртуал төхөөрөмжийг шууд шинэчлэхэд шинжилгээнд хэрэгтэй лог устаж болно.

1. Виртуал төхөөрөмж өртсөн гэж сэжиглэвэл байгууллагын инцидент шалгах журмаар лог болон бусад нотлох мэдээллийг хадгална. Дараа нь засвартай хувилбар ажиллуулах шинэ виртуал машин байршуулж, хуучин тохиргооны файлыг импортлохгүйгээр тохиргоог сэргээнэ.
2. Шинэ орчинд төхөөрөмж дээр байсан нэвтрэх мэдээлэл, криптограф материалыг шинэчилж, сэжигтэй үйл ажиллагаа үргэлжилж байгаа эсэхийг хянана. Зөвхөн програмын багц шинэчлэх нь алдагдсан түлхүүр, нэвтрэх мэдээллийг хүчингүй болгохгүй.
3. Физик төхөөрөмжид халдлагын сэжиг үүсвэл Cisco TAC-ийн дэмжлэг авна. Кластерын нэг зангилаа халдлагад өртсөн бол зангилаа хоорондын баталгаажуулалтын хувийн SSH түлхүүр ил болсон байж болох тул бусад зангилааг мөн аюулгүй төлөвт сэргээх шаардлагатай.

Сэргээсэн төхөөрөмж дээр зөв багц суусан эсэх, бодлого хэвийн ажиллаж байгаа эсэх, гаднах сүлжээний логт шинэ сэжигтэй хөдөлгөөн гарч байгаа эсэхийг баримтжуулна. Шинэчлэлээс өмнөх логийг хадгалсан хэвээр үлдээвэл дараа нь шинж тэмдэг гарсан тохиолдолд анхны төлөвтэй харьцуулах боломжтой.

Мөн уншаарай:

• GitLab-ийн 10.0 оноотой цоорхой нэвтрэхгүйгээр код ажиллуулна
• SharePoint-ийн CVE-2026-65660 ашиглагдаж эхлэв: patch хийх хугацаа дууссан
• Claude-ийн олсон HFS цоорхой нэг хоногт халдлагад ашиглагдав