A Cisco sürgős figyelmeztetést adott ki a Secure Email Gateway eszközeit érintő, aktívan kihasznált nulladik napi sérülékenységről. A CVE-2026-76461 azonosítón nyilvántartott biztonsági rés lehetővé teszi, hogy távoli, hitelesítéssel nem rendelkező támadók tetszőleges parancsokat hajtsanak végre root jogosultsággal az érintett rendszereken.

A sérülékenység a Cisco AsyncOS szoftver e-mail-feldolgozási logikájának hibájából ered. A bemeneti adatok nem megfelelő szűrése miatt a támadók speciálisan kialakított e-mail-üzenetekbe kártékony SQL utasításokat ágyazhatnak. Az ilyen üzenetek feldolgozása során parancsinjektálás történhet, amely végső soron teljes hozzáférést biztosíthat az operációs rendszerhez. A támadás fizikai és virtuális Secure Email Gateway telepítéseket egyaránt érinthet.

A sérülékenység különösen veszélyes, mivel kihasználásához nincs szükség előzetes hitelesítésre vagy a belső hálózathoz való hozzáférésre. Egy sikeres támadás lehetőséget teremthet érzékeny adatok megszerzésére, tartós hozzáférés kialakítására, további kártékony komponensek telepítésére, valamint a vállalati infrastruktúra más rendszereinek megtámadására.

A Cisco Product Security Incident Response Team tájékoztatása szerint a sérülékenységet 2026 szeptemberében már aktívan kihasználták valós támadások során. A biztonsági hibát eredetileg egy, a Cisco Technical Assistance Center által kezelt támogatási eset kivizsgálása során azonosították. A további vizsgálatok kompromittált vállalati eszközöket, illetve a Cisco Secure Email Cloud környezetében futó érintett példányokat is azonosítottak.

A Cisco a felhőalapú szolgáltatások érintett ügyfeleit értesítette, és a saját kezelésében lévő infrastruktúrán elvégezte a szükséges javításokat. A helyben üzemeltetett rendszerek esetében azonban az üzemeltetők feladata a frissítések mielőbbi telepítése.

A kompromittálás felismerése nehéz lehet, mivel a támadók a root jogosultság megszerzése után módosíthatják vagy törölhetik a helyi naplókat és manipulálhatják a rendszerfolyamatokat. A Cisco ezért azt javasolja, hogy az üzemeltetők vizsgálják át a levelezési naplókat, különösen a gyanús adatbázis-műveletekre utaló bejegyzéseket. Példaként a grep -i "COPY.*TO PROGRAM" mail_logs parancs használatát említik a klaszter valamennyi tagján.

A helyi naplók vizsgálata mellett fontos a peremvédelmi tűzfalak és a kimenő hálózati forgalom ellenőrzése is. Különösen az ismeretlen külső címekkel létrejövő kapcsolatokra, szokatlan adatforgalomra és további kártékony programok letöltésére utaló kommunikációra érdemes figyelni.

A sérülékenységhez nem áll rendelkezésre megfelelő kerülőmegoldás, ezért a Cisco a biztonsági frissítések azonnali telepítését javasolja. A hiba többek között az AsyncOS 16.5.0-780, 16.0.4-3021 és 15.5.5-0141 verzióiban került javításra.

A jövőbeni támadások kockázatának csökkentése érdekében az üzemeltetőknek érdemes a menedzsmentfelületeket elkülöníteni a levelezési forgalomtól, az adminisztratív hozzáférést megbízható belső rendszerekre korlátozni, valamint az e-mail-biztonsági eszközöket megfelelő többrétegű hálózati védelemmel ellátni.

(forrás)