Cisco SEG sulmohet aktivisht: kërkohet përditësim

Me buletinin e 14 tetorit 2026, Cisco njoftoi se CVE-2026-76519 në Secure Email Gateway (SEG), e vlerësuar si kritike me rezultat 9.8, po shfrytëzohet aktivisht dhe nuk ka zgjidhje anësore për të. Një email me bashkëngjitje të përgatitur posaçërisht mund t’i lejojë një sulmuesi në distancë, pa autentikim, të shkruajë skedarë në sistemin operativ të pajisjes dhe të ekzekutojë komanda me privilegje root. Korrigjimet janë të disponueshme.

Po më 14 tetor 2026, njoftimi i Qendrës Kanadeze për Sigurinë Kibernetike shënoi shfrytëzimin aktiv dhe renditi degët SEG 15.5 para 15.5.5-014 dhe 16.5 para 16.5.0-780 ndër versionet që kërkojnë korrigjim. Për administratorët në Shqipëri dhe Kosovë, pyetjet janë nëse konfigurimi i tyre plotëson kushtet e prekjes dhe nëse pajisja mund të jetë cenuar përpara përditësimit. Këto kërkojnë kontrolle të ndara.

Kur preket një instalim SEG

Rrugët e postës drejt Cisco Secure Email Gateway dallojnë sipas aktivizimit të File Reputation në politikën e postës.

Cenueshmëria prek pajisjet fizike dhe virtuale SEG që përdorin një version të cenueshëm të AsyncOS vetëm kur plotësohen edhe dy kushte: shërbimi File Reputation është aktiv dhe i caktuar në një politikë poste, ndërsa Content Scanner Tools është më i vjetër se 25.3.0.5525. File Reputation është pjesë e funksionit Advanced Malware Protection (AMP). Prandaj, emri i produktit ose versioni kryesor i AsyncOS, i marrë veçmas, nuk mjafton për të përcaktuar ekspozimin ndaj kësaj cenueshmërie.

Për të kontrolluar kushtin e konfigurimit, në ndërfaqen e administrimit hapet Mail Policies, pastaj Incoming Mail Policies ose Outgoing Mail Policies dhe cilësimi Advanced Malware Protection i politikës përkatëse. Aty duhet parë nëse Enable File Reputation është aktiv dhe nëse shërbimi i është caktuar asaj politike. Komanda contentscannerstatus në CLI tregon versionin e instaluar të Content Scanner Tools; ky është numri që duhet krahasuar me pragun 25.3.0.5525.

Nëse File Reputation nuk është caktuar në politikën e postës, kushtet e përshkruara për CVE-2026-76519 nuk plotësohen. Kjo nuk e kthen çaktivizimin e shërbimit në zgjidhje anësore të rekomanduar: korrigjimi i publikuar mbetet rruga për instalimet e prekura. Kontrolli duhet bërë për politikat përkatëse të postës, jo vetëm për një cilësim të përgjithshëm të pajisjes.

Versioni i korrigjuar dhe vendimi për përditësim

Buletini i forcimit të sigurisë i Cisco, i përditësuar më 14 tetor 2026, jep si versione të para të korrigjuara për SEG 15.5.5-014 në degën 15.5 dhe 16.5.0-780 në degën 16.5; për degën 16.0 kërkon kalim në një degë të korrigjuar. Ai rendit veçmas për Secure Email and Web Manager (SEWM) versionet 15.5.5-006 dhe 16.5.0-429 për cenueshmëritë që mbulon ai buletin. Kufijtë e SEWM nuk duhen përdorur si kufij korrigjimi për CVE-2026-76519, e cila prek SEG.

Për një SEG me File Reputation të aktivizuar dhe të caktuar në politikën e postës, vendimi mund të lexohet kështu:

AsyncOS 15.5 dhe Content Scanner Tools më i vjetër se 25.3.0.5525: kaloni të paktën në 15.5.5-014 ose instaloni paketën e korrigjuar të Content Scanner Tools në një version AsyncOS të licencuar dhe të mbështetur.
AsyncOS 16.0 me të njëjtat kushte konfigurimi: për korrigjimin përmes AsyncOS, kaloni në një degë të korrigjuar; buletini nuk jep një version të parë të korrigjuar brenda degës 16.0. Paketa e përditësuar e Content Scanner Tools është rrugë më vete për versionet e mbështetura.
AsyncOS 16.5 dhe Content Scanner Tools më i vjetër se 25.3.0.5525: kaloni të paktën në 16.5.0-780 ose verifikoni instalimin e paketës së korrigjuar të Content Scanner Tools.
Content Scanner Tools 25.3.0.5525 ose më i ri: paketa përmban korrigjimin e kësaj cenueshmërie. Versioni i komponentit duhet lexuar nga pajisja, edhe kur përditësimet automatike janë të aktivizuara.
SEWM: ky produkt nuk preket nga CVE-2026-76519. Versionet e tij në paralajmërimin më të gjerë lidhen me çështje të tjera sigurie dhe duhen trajtuar veçmas.

Përditësimi i Content Scanner Tools nuk kërkon përditësim të AsyncOS ose rinisje të pajisjes. Kur përditësimet automatike janë të çaktivizuara, komanda contentscannerupdate kërkon përditësimin manual; pas tij, contentscannerstatus tregon nëse paketa e korrigjuar është instaluar. Për klientët e Cisco Secure Email Cloud Gateway, versioni i korrigjuar i paketës është vendosur në infrastrukturën e menaxhuar nga Cisco. Ky rast nuk zëvendëson kontrollin e pajisjeve fizike ose virtuale që administrohen nga vetë organizata.

Përditësimi dhe hetimi i komprometimit

Regjistrat e jashtëm të rrjetit ruhen veç pajisjeve Cisco Secure Email Gateway për hetimin e një komprometimi të mundshëm.

Një version i korrigjuar mbyll rrugën e shfrytëzimit në vazhdim, por nuk përcakton nëse ajo është përdorur më parë. Në system_logs, komanda grep "System Security" system_logs kërkon mesazhet e kontrollit të sigurisë. Nëse pajisja është pjesë e një grupi SEG, regjistrat duhen parë në secilin anëtar, sepse rezultati i një pajisjeje nuk përshkruan gjendjen e të tjerave.

Mesazhi “Suspected compromise indicator was found” kërkon trajtimin e pajisjes si të cenuar dhe përfshirjen e Cisco Technical Assistance Center (TAC). Mesazhi “Security scan did not complete” kërkon gjithashtu mbështetjen e TAC. Edhe mesazhi “No compromise indicator was found” ka një kufi të rëndësishëm: privilegjet root mund t’i lejojnë sulmuesit të heqë ose të fshehë gjurmë. Për këtë arsye, regjistrat e rrjetit dhe të murit mbrojtës jashtë SEG vlejnë për të kërkuar ngarkime të papritura drejt adresave të jashtme ose shkarkime nga adresa keqdashëse.

Kur dyshohet shfrytëzim në një pajisje virtuale, informacioni forenzik duhet ruajtur përpara përditësimit, sepse përditësimi i një instance të komprometuar mund të shkatërrojë regjistra dhe prova. Rikuperimi kërkon një makinë të re virtuale me version të korrigjuar, rindërtim të konfigurimit pa importuar skedarët e vjetër dhe rinovim të kredencialeve e materialeve kriptografike të instaluara. Për një pajisje fizike me komprometim të dyshuar, rruga e mbështetjes është TAC.

Në një grup pajisjesh SEG, cenimi i një anëtari mund të ekspozojë çelësat privatë SSH të përdorur për autentikim mes anëtarëve. Vlerësimi dhe rikthimi në konfigurim të sigurt duhet të përfshijnë të gjithë grupin kur një anëtar është komprometuar. Për organizatën që gjen tregues sulmi, ruajtja e provave përpara ndryshimeve në pajisje është pjesë e vendimit të menjëhershëm, krahas instalimit të korrigjimit.

Lexoni gjithashtu: