Cisco meldt een kritieke kwetsbaarheid in Secure Email Gateway die ongeauthenticeerde aanvallers roottoegang kan geven via gemanipuleerde e-mailbijlagen.
Op 14 oktober 2026 heeft Cisco een beveiligingsadvies gepubliceerd over een kritieke kwetsbaarheid in de Advanced Malware Protection (AMP) functie van Cisco Secure Email Gateway. Deze kwetsbaarheid maakt het mogelijk voor een ongeauthenticeerde, externe aanvaller om willekeurige bestanden te schrijven en commando's uit te voeren met rootrechten op het onderliggende besturingssysteem.
De kwetsbaarheid, geregistreerd als CVE-2026-76519 en met een CVSS-score van 9.8, betreft een relatieve pad traversal fout in de AMP-functie. Deze ontstaat door onjuiste verwerking van e-mailbijlagen wanneer de File Reputation service is ingeschakeld. Een aanvaller kan een speciaal vervaardigde e-mail met een kwaadaardige bijlage versturen via een getroffen apparaat. Bij succesvolle exploitatie kan de aanvaller bestanden schrijven en commando's uitvoeren met rootprivileges. Cisco waarschuwt dat in geval van een clusterconfiguratie ook private SSH-sleutels kunnen worden buitgemaakt, waardoor andere clusterleden mogelijk ook gecompromitteerd raken. Daarnaast kunnen aanvallers sporen van hun activiteiten wissen of verbergen.
De kwetsbaarheid treft zowel fysieke als virtuele Cisco Secure Email Gateway-apparaten die draaien op bepaalde versies van Cisco AsyncOS Software, namelijk versies 15.5 vóór 15.5.5-014, versie 16.0 en versies 16.5 vóór 16.5.0-780. Daarnaast moet de File Reputation service actief zijn en toegewezen aan een mailbeleid, en moet de Content Scanner Tools-versie ouder zijn dan 25.3.0.5525. Cisco heeft een patch uitgebracht die beschikbaar is via een update van het Content Scanner Tools-pakket en in latere AsyncOS-versies is verwerkt. Voor klanten van Cisco Secure Email Cloud Gateway is geen actie vereist omdat de fix daar al is uitgerold.
CERT-EU adviseert om de Content Scanner Tools zo snel mogelijk bij te werken of AsyncOS te upgraden naar een versie waarin de kwetsbaarheid is verholpen, met prioriteit voor apparaten die vanaf het internet bereikbaar zijn. Tevens wordt aanbevolen om alle getroffen apparaten te controleren op tekenen van compromittering. Cisco raadt aan om systeemlogs te doorzoeken met het commando grep "System Security" system_logs om mogelijke exploitatiepogingen te detecteren. Meer technische details en instructies zijn te vinden in het security advisory van Cisco.
