Один из администраторов заметил странную активность на почтовом шлюзе: письма проходили фильтрацию, но на устройстве внезапно появлялись файлы, которых там быть не должно. Позже Cisco подтвердила, что злоумышленники уже бьют по критической дыре в Secure Email Gateway и могут через вредоносное вложение добраться до root-доступа.

Какую проблему решаем

Речь о риске для корпоративной почты, а не о рядовом сбое. Уязвимость затрагивает шлюзы, где включён File Reputation и стоит устаревший пакет Content Scanner Tools — старше версии 25.3.0.5525.

Если у вас такой шлюз, атакующий может отправить письмо с особым вложением и записать файлы в операционную систему устройства без входа в систему. Это уже не просто фильтр спама, а точка, через которую могут развалиться и почта, и внутренние процессы.

Cisco присвоила проблеме номер CVE-2026-76519 и оценила её на 9,8 балла из 10. Компания говорит, что узнала об атаках в октябре и уже разослала предупреждение клиентам своего управляемого облака, у которых заметила признаки возможного взлома.

Что подготовить

Сначала соберите три вещи: доступ к консоли управления шлюзом, сведения о версии Content Scanner Tools и список почтовых политик, где включён File Reputation. Если устройство обслуживает облачный или внешний подрядчик, заранее уточните, кто может проверить конфигурацию и поставить обновление.

Если трафик идёт через чужую сеть, лишний слой защиты не помешает. В такой схеме помогает защита для чужой сети, но для почтового шлюза это не замена патчу и не способ закрыть саму дыру.

Пошаговые действия

1. Проверьте, уязвим ли шлюз

Откройте настройки почтовых политик и найдите раздел Advanced Malware Protection. Нужно понять, включён ли параметр Enable File Reputation хотя бы в одной входящей или исходящей политике.

Затем проверьте версию Content Scanner Tools. В CLI выполните команду contentscannerstatus — она покажет номер версии и дату последнего обновления.

2. Обновите сканер, если версия старая

Cisco пишет, что самый быстрый путь — поставить свежий Content Scanner Tools. Версия 25.3.0.5525 или новее закрывает проблему и не требует полной перезагрузки устройства.

Если автообновление включено, это не повод успокаиваться раньше времени. После применения пакета всё равно проверьте contentscannerstatus и убедитесь, что номер уже новый.

3. Поставьте фиксированную сборку AsyncOS

Полный фикс есть в сборках 15.5.5-014 и 16.5.0-780. Для ветки 16.0 Cisco отдельную исправленную сборку не выпустила — там совет один: мигрировать на поддерживаемую версию.

Шлюзы на версиях ниже 16.5 компания рекомендует поднять минимум до 16.5.0-780. Это важно для физических и виртуальных устройств; Secure Email and Web Manager и Secure Web Appliance под эту дыру не попадают.

4. Проверьте, не было ли уже попытки атаки

Cisco советует выполнить на устройстве команду grep "System Security" system_logs. В ответе ищите одну из трёх строк: о подозрительном индикаторе компрометации, о незавершённом сканировании или о том, что признаков взлома нет.

Если результат чистый, это ещё не гарантия безопасности. Атакующий с root-доступом мог стереть следы, поэтому смотрите ещё и внешние логи фаервола и сети — особенно неожиданные выгрузки на внешние адреса и загрузки с подозрительных IP.

Как проверить себя

Самая простая проверка — сверить три факта: включён ли File Reputation, обновлён ли Content Scanner Tools до 25.3.0.5525 или выше, и стоит ли исправленная сборка AsyncOS. Если хотя бы один пункт не сходится, шлюз надо считать проблемным до устранения.

Отдельно проверьте кластеры. Cisco просит запускать проверку на каждом узле, потому что заражение одного устройства может затронуть остальные через SSH-ключи.

Если вам нужна дополнительная памятка по проверкам и реакции на инциденты, посмотрите наш разбор о критических дырах, которые уже идут в атаку и материал о том, как ловят атаки после патча.

Что делать, если не получилось

Если обновить шлюз сразу нельзя, не затягивайте с проверкой версии и планом миграции. Cisco прямо говорит, что для этой уязвимости обходных мер нет.

Если устройство уже с признаками компрометации, для виртуальной машины нужен новый экземпляр на исправленной версии, причём без импорта старой конфигурации. Дальше меняют учётные данные и криптографические ключи и наблюдают за устройством особенно внимательно.

Для физического шлюза компания советует подключить TAC и дать инженерам доступ к расследованию. В кластере лучше восстанавливать все узлы, если один из них оказался скомпрометирован.

Чек-лист

  • Проверить, включён ли File Reputation в почтовых политиках.
  • Запустить contentscannerstatus и сверить версию Content Scanner Tools.
  • Обновить Content Scanner Tools до 25.3.0.5525 или новее.
  • Убедиться, что AsyncOS обновлён до 15.5.5-014, 16.5.0-780 или более новой поддерживаемой сборки.
  • Проверить логи на признаки System Security и необычный сетевой трафик.
  • Осмотреть каждый узел кластера отдельно.
  • Если есть признаки компрометации, изолировать устройство и начать восстановление по процедуре Cisco.
Поделиться: