Cisco a publié le 14 octobre 2026 un avis confirmant que la vulnérabilité CVE-2026-76519, qui touche ses passerelles de messagerie Secure Email Gateway, est exploitée par des attaquants. Notée 9,8 sur 10, elle permet à un attaquant distant, dépourvu d’identifiants, de prendre la main sur un boîtier avec les droits root en y faisant transiter un courriel piégé. Le correctif s’installe sans redémarrage, mais le constructeur insiste surtout sur la recherche de traces d’intrusion.
Une pièce jointe suffit à compromettre la passerelle
D’après l’avis de Cisco, le défaut tient à un mauvais traitement des pièces jointes lorsque le service File Reputation, une brique de la protection antimalware AMP, est activé. En envoyant à travers l’appareil un message assorti d’une pièce jointe spécialement construite, un attaquant peut écrire des fichiers arbitraires sur le système sous-jacent, puis exécuter des commandes en tant que root. Cisco classe le défaut comme une traversée de répertoire (CWE-23) et dit l’avoir repéré lors de ses propres analyses internes.
Son équipe de réponse aux incidents (PSIRT) a eu connaissance d’une exploitation active au cours du mois d’octobre. Ni l’avis ni la presse spécialisée n’attribuent ces attaques à un groupe précis, et CSO Online relève qu’aucun nombre de victimes n’a été communiqué. Selon SecurityWeek, l’agence américaine CISA a inscrit la faille le même jour à son catalogue des vulnérabilités exploitées et a demandé aux administrations fédérales de corriger avant le 17 octobre.
Quelles passerelles sont exposées
Sont concernés les boîtiers physiques et virtuels Secure Email Gateway sous une version vulnérable d’AsyncOS, à deux conditions cumulatives :
- le service File Reputation est activé et rattaché à une politique de messagerie ;
- le composant Content Scanner Tools est antérieur à la version 25.3.0.5525.
Pour le vérifier, Cisco conseille d’ouvrir, dans l’interface web, les politiques de courrier entrant ou sortant à la rubrique Advanced Malware Protection, puis de lancer la commande contentscannerstatus en ligne de commande. Les produits Secure Email and Web Manager et Secure Web Appliance ne sont pas affectés. Pour l’offre hébergée Secure Email Cloud Gateway, Cisco affirme avoir protégé son infrastructure et ne demande rien à ses clients ; il a toutefois contacté directement ceux dont les appareils présentaient des indices de compromission, selon SecurityWeek.
Corriger sans redémarrer, mais sans contournement possible
La correction se trouve dans Content Scanner Tools 25.3.0.5525 et les versions suivantes, un paquet distribué à toutes les versions d’AsyncOS sous licence et encore prises en charge. Sa mise à jour n’exige ni changement de version du logiciel ni redémarrage : elle se lance à la main avec la commande contentscannerupdate, ou s’applique d’elle-même si les mises à jour automatiques de services sont activées. Cisco précise qu’aucune solution de contournement n’existe.
Côté système, les versions corrigées sont AsyncOS 15.5.5-014 et 16.5.0-780 ; la branche 16.0 doit migrer vers une version corrigée, et Cisco recommande la 16.5.0-780 pour toutes les versions antérieures à la 16.5. Ces versions sont disponibles depuis le 14 septembre, au sein d’une publication de durcissement qui regroupait cinq identifiants CVE, dont CVE-2026-76440, elle aussi de type traversée de répertoire. SecurityWeek indique que le défaut aujourd’hui exploité y figurait sous cet identifiant. Les organisations qui ont appliqué ce lot en septembre ont donc une longueur d’avance, sans être dispensées de la vérification qui suit.
Pourquoi patcher ne suffit pas
Un attaquant doté des droits root peut effacer ou maquiller ses traces : c’est pourquoi Cisco demande de chercher une compromission avant même de corriger. L’éditeur fournit une commande, grep « System Security » system_logs, à exécuter sur chaque membre d’un cluster ; selon le résultat affiché, il faut contacter son support technique (TAC) ou suivre la procédure de remise en état. CSO Online souligne qu’un résultat négatif ne remplace pas une enquête plus large : les journaux réseau et pare-feu situés hors de la passerelle doivent être examinés pour repérer des envois inattendus vers des adresses externes ou des téléchargements depuis des adresses malveillantes.
Pour un boîtier virtuel compromis, la marche à suivre est stricte : préserver d’abord les journaux et les données d’analyse, car une mise à niveau les détruirait, déployer une nouvelle machine virtuelle sur une version corrigée, reconstruire la configuration sans réimporter les anciens fichiers, puis renouveler identifiants et éléments cryptographiques. Pour les appareils physiques, Cisco renvoie vers son support. Le risque déborde la machine touchée : les membres d’un cluster s’authentifient entre eux par paires de clés SSH, et une clé privée dérobée peut servir à attaquer les autres. Cisco recommande donc de restaurer tous les membres d’un cluster dès qu’un seul est compromis.
Deuxième faille exploitée en un mois
CVE-2026-76519 est la deuxième faille de Secure Email Gateway exploitée depuis la mi-septembre. La première, CVE-2026-76461, également notée 9,8, permettait selon un précédent article de SecurityWeek d’exécuter des commandes root au moyen d’instructions SQL glissées dans un message ; la CISA l’avait ajoutée à son catalogue le 14 septembre. Une faille plus ancienne, CVE-2025-20393, avait été exploitée par des acteurs liés à la Chine à partir de la fin 2025. Ces appareils sont des cibles logiques : placée en bordure du réseau, une passerelle de messagerie accepte par construction le courrier de n’importe quel expéditeur, ce qui la rend attaquable sans aucun identifiant.
Questions fréquentes
Comment savoir si ma passerelle Cisco est vulnérable ?
Elle l’est si File Reputation est activé dans une politique de messagerie et si la commande contentscannerstatus affiche une version de Content Scanner Tools inférieure à 25.3.0.5525.
La mise à jour impose-t-elle une interruption de service ?
Non pour Content Scanner Tools, qui s’installe sans redémarrage. La migration vers AsyncOS 15.5.5-014 ou 16.5.0-780 est une opération distincte, à planifier séparément.
Les clients de l’offre cloud de Cisco doivent-ils agir ?
Selon Cisco, non : l’infrastructure Secure Email Cloud Gateway est déjà protégée, et les clients chez qui des indices de compromission ont été repérés ont été contactés directement.
Sources
- Cisco Secure Email Gateway Arbitrary File Write Vulnerability (cisco-sa-esa-afw-zqYJkjxp) — Cisco, 2026-10-14
- Cisco Warns of Exploited Secure Email Gateway Vulnerability — SecurityWeek, 2026-10-15
- Cisco warns of actively exploited Secure Email Gateway flaw — CSO Online, 2026-10-15
- Cisco Secure Email Gateway and Secure Email and Web Manager Security Hardening Release: September 2026 — Cisco, 2026-10-14
- Root RCE Zero-Day in Cisco Secure Email Gateway Under Active Exploitation — SecurityWeek, 2026-09-15