Cisco Secure Email Gateway : une faille critique exploitée via une simple pièce jointe

Cisco a publié le 14 octobre un avis de sécurité critique pour Secure Email Gateway (SEG), sa passerelle de filtrage des e-mails. La faille, référencée CVE-2026-76519 et notée 9,8 sur 10, est déjà exploitée : l'éditeur indique que son équipe de réponse aux incidents (PSIRT) a eu connaissance d'une « exploitation active » en octobre. Le même jour, l'agence américaine de cybersécurité CISA l'a ajoutée à son catalogue des vulnérabilités exploitées (KEV).

Un e-mail suffit

Il s'agit d'une faille de type path traversal (remontée de répertoire) dans le traitement des pièces jointes par la fonction File Reputation du module Advanced Malware Protection (AMP). Selon Cisco, un attaquant distant non authentifié pourrait, en faisant transiter par l'appareil un e-mail accompagné d'une pièce jointe piégée, écrire des fichiers arbitraires sur le système et exécuter des commandes avec les privilèges root. Aucune action d'un utilisateur n'est nécessaire.

Deux conditions doivent être réunies : File Reputation est activé et associé à une politique de messagerie, et la brique Content Scanner Tools est antérieure à la version 25.3.0.5525. Les appliances physiques comme virtuelles sont concernées. Secure Email and Web Manager et Secure Web Appliance ne le sont pas. Pour le service cloud Secure Email Cloud Gateway, Cisco a appliqué des mesures d'atténuation et indique qu'aucune action n'est requise. L'éditeur a contacté directement les clients cloud dont les équipements présentaient une activité malveillante.

Cisco ne précise ni le nombre de victimes ni l'identité des attaquants. Selon BleepingComputer, l'organisation Shadowserver suit près de 300 instances SEG exposées sur Internet. Ce chiffre ne distingue pas les appareils déjà corrigés.

Que faire ?

• Vérifier l'exposition : la commande contentscannerstatus affiche la version de Content Scanner Tools. Dans l'interface web, regardez si la case « Enable File Reputation » est cochée dans les politiques entrantes et sortantes (Mail Policies, Advanced Malware Protection).
• Corriger : passez Content Scanner Tools en 25.3.0.5525 ou plus, avec contentscannerupdate ou par les mises à jour automatiques. Il n'y a ni mise à niveau d'AsyncOS ni redémarrage. Côté AsyncOS, les versions corrigées sont la 15.5.5-014 et la 16.5.0-780. La branche 16.0 doit migrer, et Cisco recommande la 16.5.0-780 pour toute version antérieure à la 16.5.
• Rechercher une compromission : lancez grep "System Security" system_logs sur chaque membre d'un cluster. Le message « Suspected compromise indicator was found » impose de contacter le support (TAC).
• En cas de compromission d'une appliance virtuelle, Cisco demande de préserver d'abord les données d'investigation, car la mise à jour les détruit. Ensuite : déployer une nouvelle machine virtuelle corrigée, reconstruire la configuration sans importer l'ancienne, et renouveler les identifiants et le matériel cryptographique. Dans un cluster, tous les membres doivent être restaurés, car les clés SSH ont pu être exposées.
• Contrôler les journaux réseau : un attaquant root peut effacer ses traces sur l'appareil. Cisco conseille de rechercher des envois inhabituels vers des adresses externes dans les journaux des pare-feu.

Une cible régulière

Selon BleepingComputer, d'autres failles de cette gamme ont été activement exploitées ces derniers mois. La CVE-2025-20393 était exploitée depuis novembre 2025 et a été corrigée en janvier 2026. La CVE-2026-76461 a suivi en septembre 2026. Ces passerelles reçoivent par nature des e-mails de n'importe quel expéditeur, ce qui en fait une porte d'entrée de choix.