Злоумышленники активно эксплуатируют критическую уязвимость CVE-2026-76461 (CVSS 9,8) в устройствах Cisco Secure Email Gateway, защищающих почтовые сервисы. Проблема кроется в обработке входящей почты в Cisco AsyncOS и затрагивает все конфигурации — как физические, так и виртуальные устройства.
Для атаки не нужно взламывать систему — достаточно отправить специально сформированное письмо через уязвимый шлюз. При успешной эксплуатации злоумышленник получает права администратора и может отдавать команды устройству.
Cisco выпустила исправления в версиях AsyncOS 15.5.5-014, 16.0.4-302 и 16.5.0-780, рекомендуя устанавливать именно последнюю. По данным Shadowserver Foundation, более 400 устройств Cisco Secure Email Gateway всё ещё доступны для атак из интернета.
Уязвимость внесена в реестр Known Exploited Vulnerabilities CISA. Федеральным гражданским ведомствам США предписано устранить её до 17 сентября.
Для потенциально скомпрометированных виртуальных устройств Cisco советует сохранить логи и образы дисков для расследования, затем развернуть новую машину с исправленным ПО и заменить все учётные и криптографические данные.
В Cisco узнали об активной эксплуатации только в сентябре. Компания не раскрывает, кто стоит за атаками и сколько организаций пострадало, но подтвердила, что затронуты некоторые облачные клиенты — им уже отправлено обновление AsyncOS 16.5.0-780.
Администраторам, самостоятельно обслуживающим устройства, Cisco рекомендует проверять не только логи шлюза, но и сетевые журналы, а также журналы межсетевых экранов — получив root-доступ, злоумышленники могут удалять следы взлома из логов.
Это уже вторая серьёзная уязвимость AsyncOS за год: ранее CVE-2025-20393 с максимальной оценкой 10 баллов также использовалась для взлома Cisco Secure Email Gateway. Уязвимость выявили специалисты Technical Assistance Center при обработке обращений в техподдержку.