E-mail S/MIME da Cisco pode vazar texto claro — não há contorno

Em 2 de setembro de 2026, a Cisco publicou um alerta sobre duas vulnerabilidades no Cisco Secure Email que podem permitir a recuperação do texto claro de mensagens protegidas por S/MIME. O alerta de segurança da Cisco identifica as falhas como CVE-2026-20354 e CVE-2026-20355, atribui pontuação CVSS 5.9 e informa que não existe contorno.

O problema afeta dispositivos com AsyncOS 16.5.0 ou anterior quando o S/MIME está configurado na comunicação entre gateways de e-mail. A exploração requer que um invasor intercepte e modifique esse tráfego, mas não exige autenticação nem interação do usuário; até a publicação, a apuração da SecurityWeek registrava divulgação pública sem exploração maliciosa conhecida.

Quem realmente está no conjunto afetado

A exposição depende de duas condições simultâneas: executar uma versão vulnerável do AsyncOS e usar S/MIME entre gateways. Encontrar um Cisco Secure Email no inventário, isoladamente, não basta para classificar o ambiente como afetado.

• AsyncOS 16.5.0 ou anterior com S/MIME entre gateways: corresponde à configuração vulnerável descrita pela Cisco e precisa receber software corrigido.
• AsyncOS 16.5.0 ou anterior sem esse uso de S/MIME: não reúne a condição de exposição publicada. É necessário, porém, confirmar a configuração real em todos os gateways e rotas.
• Versão posterior à 16.5.0: fica fora do intervalo vulnerável divulgado, mas a equipe deve validar o release exato nos registros de correção antes de encerrar a análise.
• Versão ou configuração desconhecida: o estado permanece indeterminado até que ambos os dados sejam verificados.

Esse recorte também impede que as duas falhas sejam confundidas com vulnerabilidades críticas de IOS XR, switches Nexus ou telefones IP divulgadas na mesma rodada. As CVEs desta notícia pertencem especificamente à funcionalidade de descriptografia S/MIME do Cisco Secure Email e receberam classificação média.

Como uma mensagem criptografada pode ser exposta

A causa descrita é a validação insuficiente da integridade das mensagens. Em uma técnica de máquina no meio, o invasor precisa ocupar uma posição que lhe permita interceptar e alterar o tráfego entre os gateways; uma exploração bem-sucedida pode então revelar o conteúdo em texto claro da comunicação criptografada.

O impacto central é a perda de confidencialidade. O vetor CVSS indica alta complexidade de ataque e impacto alto sobre confidencialidade, sem impacto direto atribuído à integridade ou à disponibilidade. Essa complexidade limita o cenário, mas não reduz a sensibilidade do conteúdo que pode ser recuperado.

Não se trata, segundo o cenário publicado, de abrir indiscriminadamente qualquer mensagem S/MIME armazenada nem de comprometer contas de correio. O ataque descrito não depende de credenciais roubadas, clique em anexo ou acesso administrativo ao produto; depende da interceptação e modificação do fluxo entre gateways que processam S/MIME.

Como verificar versão e uso de S/MIME

A triagem deve cobrir todas as instâncias do Cisco Secure Email, incluindo equipamentos de alta disponibilidade, contingência e rotas dedicadas a parceiros. Esses componentes podem executar releases ou políticas diferentes, portanto a verificação de apenas um gateway não representa necessariamente todo o ambiente.

1. Registre a versão completa do AsyncOS em cada dispositivo e associe o resultado ao gateway correspondente.
2. Verifique nas políticas e rotas se o S/MIME está configurado especificamente para comunicação entre gateways.
3. Inclua pares externos, rotas de contingência e nós secundários no levantamento.
4. Classifique cada combinação de versão e configuração pela matriz de exposição, mantendo o registro usado para autorizar a mudança.
5. Consulte os detalhes dos Cisco Bug IDs CSCwu28362 e CSCwu28364 para identificar o release corrigido aplicável.

A parte aberta do alerta não apresenta um único número de versão corrigida para todos os ambientes: ela direciona os clientes aos detalhes dos dois registros de bug. Por isso, não é seguro presumir que qualquer release numericamente superior ao 16.5.0 seja, por si só, a escolha correta para determinada plataforma.

Sem contorno, a solução passa pela atualização

Não existe workaround oficial que elimine as duas vulnerabilidades mantendo o software afetado como está. Desativar ou redesenhar um fluxo S/MIME pode retirar uma instalação da condição operacional descrita, mas não corrige a validação insuficiente no produto e não foi apresentado pela Cisco como contorno.

A correção definitiva é a migração para um release corrigido compatível. Em comunicado de 3 de setembro, o Centro Nacional de Segurança Cibernética da Finlândia também listou as duas CVEs, o AsyncOS 16.5.0 ou anterior e a disponibilidade de atualização corretiva para o Secure Email.

Se os detalhes dos registros de bug não estiverem acessíveis, a orientação do fabricante é procurar o Cisco TAC ou o provedor de manutenção contratado. A seleção do release precisa considerar suporte à plataforma, memória disponível e compatibilidade das configurações atuais.

Divulgação pública não significa exploração ativa

O Cisco PSIRT reconheceu que havia um anúncio público sobre as vulnerabilidades, mas informou não conhecer uso malicioso delas. São estados diferentes: a divulgação torna as informações sobre as falhas públicas, enquanto exploração ativa exigiria evidência de ataques em ambientes reais.

O alerta não apresenta indicadores de comprometimento específicos capazes de demonstrar, isoladamente, que mensagens foram recuperadas. Registros de tráfego ou alterações inesperadas no caminho entre gateways podem integrar uma investigação interna, mas a ausência de sinais não corrige nem descaracteriza uma instalação que reúna as condições vulneráveis.

O quadro confirmado após a divulgação é, portanto, delimitado: AsyncOS 16.5.0 ou anterior só entra no conjunto afetado quando há S/MIME entre gateways; a exploração pode expor texto claro; há software corrigido, mas nenhum contorno oficial. Continuava sem confirmação de uso malicioso conhecido, e o release adequado deveria ser localizado nos registros CSCwu28362 e CSCwu28364 ou com o suporte da Cisco.

Leia também:

• E-mail sem clique invade o Zimbra: atualizar o servidor não pode esperar
• Cisco leva sua fábrica de IA ao rack inteiro — com entrega prevista para outubro
• Falha no IBM Test Management pode derrubar o serviço — não há mitigação