🚨 Cisco Secure Email Gateway: zero-day через вложение в письме, root на шлюзе. Второй почтовый шлюз за две недели

Коллеги, четверг. Вслед за инцидентами вокруг FortiMail под прицел попали решения Cisco. Почтовые шлюзы (Secure Email Gateway / ESA) окончательно утвердились в статусе приоритетного вектора атак на внешний периметр.

📌 ФАКТЫ
Идентификатор и скоринг: CVE-2026-76519, критический базовый балл CVSS 9.8. Затрагивает операционную систему AsyncOS и механизм анализа репутации файлов AMP (Advanced Malware Protection) File Reputation.

Вектор Zero-Click: неаутентифицированная атака через отправку специально сформированного письма с вредоносным вложением.

В процессе штатного парсинга вложения модулем сканирования происходит запись произвольных файлов в файловую систему appliance с последующим выполнением произвольного кода с правами суперпользователя root.

Каких-либо действий от конечного пользователя или администратора не требуется — разбор и триггер уязвимости происходят на лету самим шлюзом.

Необходимые условия уязвимости:

Функция File Reputation включена и назначена хотя бы на одну политику обработки входящей почты (Inbound Mail Policy);

Версия служебного компонента Content Scanner Tools ниже 25.3.0.5525.

Статус эксплуатации: активные атаки в дикой природе зафиксированы в октябре. Официальный security advisory опубликован 14 октября. Обходных путей (workarounds) и изолирующих твиков конфигурации не существует.

Векторы устранения:

Накат пакета определений Content Scanner Tools версии 25.3.0.5525 или новее (применяется динамически без ребута ноды);

Либо мажорный апгрейд образов системы до AsyncOS 15.5.5-014 / 16.5.0-780;

Облачная инфраструктура Cisco Secure Email Cloud Gateway уже пропатчена на стороне вендора.

🛠 ДИАГНОСТИКА И ПАТЧИНГ (CLI AsyncOS)
Проверку и принудительное обновление необходимо выполнять понодово на каждом физическом или виртуальном узле кластера:

Plaintext

# 1. Проверяем текущую установленную версию движков сканирования
contentscannerstatus

# 2. Если включен ручной режим обновлений — форсируем немедленную выкачку сигнатур
contentscannerupdate

# 3. Базовый поиск следов аномалий безопасности в системных журналах
grep "System Security" system_logs

⚠️ Важное замечание вендора по форензике:

Так как цепочка эксплойта даёт злоумышленнику права

root

на уровне базовой ОС FreeBSD/Linux шлюза, атакующий имеет возможность напрямую зачистить следы в локальных журналах

system_logs

и

mail_logs

. «Чистый» вывод журнала не гарантирует отсутствие компрометации.

💡 В ЧЁМ СУТЬ ДЛЯ СИСАДМИНА

Почтовый шлюз архитектурно обязан принимать входящие SMTP-соединения со всего интернета (

0.0.0.0/0

), поэтому доставка полезной нагрузки через стандартный почтовый конверт — идеальный сценарий для атакующих.

Два фундаментальных правила эксплуатации SEG:

Автообновление движков контента (Antivirus, AMP, Content Scanner): должно быть включено по умолчанию в режиме реального времени, без задержек и ручного подтверждения администратором.

Жёсткий Egress-контроль: почтовому шлюзу из внешних направлений нужны только порт TCP/25 для доставки почты и доступ к вендорским CDN/серверам репутации по портам 80/443. Любые внезапные исходящие TCP/UDP-сессии с IP шлюза в сторону неизвестных внешних серверов на пограничном межсетевом экране должны немедленно отправлять алерт в SIEM/Telegram.

#security #cisco #email #zeroday #mail #gateway #sysadmin #admin_future