Chyba Cisco s CVSS 9,8 sa zneužíva, náhradné riešenie neexistuje

Cisco 14. októbra 2026 zverejnilo upozornenie na CVE-2026-76519 v Secure Email Gateway: chybu hodnotí skóre CVSS 9,8, potvrdzuje jej aktívne zneužívanie a uvádza, že pre ňu neexistuje obchádzkové riešenie. Neautentifikovaný vzdialený útočník môže odoslať e-mail s upravenou prílohou, zapísať súbory do podkladového operačného systému a spustiť príkazy s oprávneniami root. Opravený softvér je dostupný.

Kanadské centrum pre kybernetickú bezpečnosť uvádza, že americká agentúra CISA zaradila CVE-2026-76519 14. októbra 2026 do katalógu známych zneužívaných zraniteľností. Pre správcu Secure Email Gateway z toho vyplývajú tri otázky v pevnom poradí: či brána spĺňa podmienky zraniteľnosti, či jej záznamy naznačujú zásah a až potom, ako ju opraviť bez straty dôkazov o prípadnom incidente.

Ktoré konfigurácie sú zraniteľné

Zraniteľnosť sa týka fyzických aj virtuálnych brán, keď sa stretnú dotknuté vydanie AsyncOS, zapnutá služba File Reputation priradená k poštovej politike a starší balík Content Scanner Tools. Technické upozornenie CERT-EU uvádza vetvu AsyncOS 15.5 pred vydaním 15.5.5-014, celú vetvu 16.0 a vetvu 16.5 pred vydaním 16.5.0-780; ďalšou podmienkou je verzia Content Scanner Tools staršia ako 25.3.0.5525. Samotné číslo AsyncOS teda na posúdenie konkrétneho zariadenia nestačí.

Stav služby File Reputation sa kontroluje v poštových politikách pre prichádzajúcu aj odchádzajúcu poštu, v časti Advanced Malware Protection. Rozhoduje začiarknutie voľby Enable File Reputation v politike priradenej k pošte. Nainštalovanú verziu skenovacieho balíka zobrazí príkaz contentscannerstatus; pri automatických aktualizáciách je podstatná skutočne zobrazená verzia, nie iba zapnuté sťahovanie aktualizácií.

Ak služba nie je zapnutá a priradená k poštovej politike, uvedená kombinácia podmienok nevzniká. Ak je zapnutá, ale Content Scanner Tools už dosiahol opravenú verziu, táto chyba je opravená aj bez okamžitej zmeny vetvy AsyncOS. Zariadenie s dotknutým AsyncOS, zapnutou službou a starším skenovacím balíkom treba považovať za zraniteľné a preveriť jeho záznamy pred zásahom, ktorý by mohol prepísať stopy.

Rozsah je dôležité nepliesť s inými produktmi v bezpečnostných upozorneniach Cisco. Táto konkrétna chyba sa vzťahuje na Secure Email Gateway; Secure Email and Web Manager ani Secure Web Appliance medzi dotknuté produkty nepatria. Pri Cisco Secure Email Cloud Gateway už bola opravená verzia Content Scanner Tools nasadená v rámci správy služby, takže zákazníci nemajú vykonávať aktualizáciu vlastnej brány.

Čo ukážu systémové záznamy

Na dotknutej bráne sa pokusy o zneužitie preverujú v system_logs príkazom grep "System Security" system_logs. Ak brána patrí do klastra, kontrola sa robí na každom členovi osobitne. Čistý výsledok jednej inštancie nevypovedá o ostatných zariadeniach, ktoré spracúvajú poštu samostatne.

Hlásenie Suspected compromise indicator was found znamená nález indikátora kompromitácie a vyžaduje riešenie incidentu. Pri Security scan did not complete sa bezpečnostná kontrola nedokončila; správca má kontaktovať technickú podporu Cisco a výsledok nesmie vykladať ako čistý stav. Hlásenie No compromise indicator was found znamená, že táto kontrola indikátor nenašla. Zraniteľnú konfiguráciu treba opraviť aj pri takomto výsledku.

Úspešný útočník môže po získaní oprávnení root stopy na bráne odstrániť alebo skryť. Preto pri podozrení pomáhajú aj sieťové a firewallové záznamy uložené mimo nej. Pozornosť si zaslúžia najmä neočakávané prenosy zo zariadenia na externé adresy a sťahovanie z podozrivých adries: takéto záznamy môžu zachytiť činnosť, ktorú lokálna kontrola už neukáže.

Ktorá oprava patrí ku ktorej vetve

Pre licencované a podporované vydania AsyncOS je jednou cestou aktualizovať samostatný balík Content Scanner Tools na verziu 25.3.0.5525 alebo novšiu. Aktualizácia tohto balíka nevyžaduje zmenu vydania AsyncOS ani reštart produktu. Ak sú automatické aktualizácie vypnuté, možno spustiť contentscannerupdate a potom príkazom contentscannerstatus overiť, či sa opravený balík skutočne nainštaloval.

Druhou cestou je opravené vydanie AsyncOS. Pri vetve 15.5 je prvým opraveným vydaním 15.5.5-014, pri vetve 16.5 vydanie 16.5.0-780. Pre vetvu 16.0 nie je uvedená opravená verzia v rámci tej istej vetvy, takže oprava cez samotný AsyncOS vyžaduje migráciu. Cisco odporúča zákazníkom na vydaniach starších ako 16.5 prechod na 16.5.0-780; dostupnosť aktualizovaného Content Scanner Tools zostáva samostatnou možnosťou pre podporované inštalácie.

Poradie aktualizácie a vyšetrovania určuje výsledok kontroly. Pri zraniteľnej bráne bez nálezu indikátorov treba nainštalovať opravu a overiť jej výslednú verziu. Ak záznamy alebo prevádzka naznačujú kompromitáciu, najprv treba zachovať forenzné údaje a určiť rozsah zásahu. Aktualizácia už napadnutej virtuálnej inštancie môže zničiť záznamy potrebné na vyšetrovanie.

Postup pri podozrení na kompromitáciu

Pri fyzickej bráne s podozrením na zneužitie je určeným kontaktom technická podpora Cisco. Pri virtuálnej bráne postup zahŕňa uchovanie forenzných údajov a nasadenie novej inštancie s opraveným softvérom. Jej konfiguráciu treba vytvoriť nanovo bez importu predchádzajúcich konfiguračných súborov, obnoviť prihlasovacie údaje aj kryptografický materiál a sledovať ďalšie nezvyčajné správanie.

Ak je napadnutá brána členom klastra, zásah sa môže týkať aj jeho ďalších členov. Na vzájomnú autentifikáciu používajú súkromné kľúče SSH, ku ktorým môže útočník získať prístup na kompromitovanom zariadení. Obnova bezpečnej konfigurácie sa preto má vzťahovať na každého člena takého klastra. Samotná inštalácia opravy na pôvodnej bráne by možné sprístupnenie týchto kľúčov nevyriešila.