Le 14 octobre 2026, la CISA a ajouté la faille CVE-2026-76519 de Cisco Secure Email Gateway à son catalogue des vulnérabilités exploitées (KEV). En octobre, Cisco a indiqué avoir connaissance d’exploitations actives. Le risque décrit concerne les passerelles réunissant deux conditions précises : File Reputation est activé et associé à une politique de messagerie, et Content Scanner Tools est antérieur à la version 25.3.0.5525. La CISA a confirmé l’ajout au catalogue KEV, tandis que The Register a rapporté la déclaration de Cisco sur les exploitations actives.
Ce que pourrait permettre CVE-2026-76519
La faille est une traversée de chemin relative dans le traitement des pièces jointes par Advanced Malware Protection (AMP). Selon les détails rapportés par The Hacker News, un attaquant distant sans authentification pourrait envoyer un courriel conçu pour exploiter cette faille et écrire des fichiers arbitraires. The Register rapporte également que l’attaque pourrait permettre l’exécution de commandes avec les privilèges root sur le système d’exploitation de l’appliance. La vulnérabilité est évaluée à 9,8 sur 10 selon le score CVSS rapporté par les deux publications.
Le périmètre décrit comprend les appliances Cisco Secure Email Gateway physiques et virtuelles exécutant une version vulnérable d’AsyncOS, sous réserve des deux conditions ci-dessous. The Hacker News indique que Secure Email and Web Manager et Secure Web Appliance sont hors de ce périmètre.
Vérifier les deux conditions d’exposition
| Condition signalée | Vérification |
| File Reputation est activé et associé à une politique de messagerie. | Dans la politique entrante, ouvrir Mail Policies > Incoming Mail Policies > Advanced Malware Protection et vérifier que « Enable File Reputation » est sélectionné. Pour une politique sortante, utiliser le chemin correspondant sous Outgoing Mail Policies. |
| Content Scanner Tools est antérieur à 25.3.0.5525. | Exécuter contentscannerstatus pour afficher la version installée. La version corrigée rapportée est 25.3.0.5525 ou ultérieure. |
Ces contrôles correspondent aux paramètres et commandes détaillés par The Hacker News. L’exposition décrite réunit les deux conditions : vérifier uniquement le paramètre de politique ou uniquement la version du scanner ne suffit donc pas à déterminer si la configuration correspond au périmètre signalé.
Versions corrigées rapportées
The Hacker News rapporte deux versions corrigées d’AsyncOS : 15.5.5-014 et 16.5.0-780. La publication indique aussi que Content Scanner Tools 25.3.0.5525 ou ultérieur corrige la faille sur les versions d’AsyncOS sous licence et prises en charge. La mise à jour du scanner peut s’installer sans mise à niveau d’AsyncOS ni redémarrage, selon ce même compte rendu.
Pour les passerelles dont les mises à jour automatiques du scanner sont désactivées, The Hacker News rapporte que les administrateurs peuvent lancer contentscannerupdate ou activer les mises à jour dans Security Services > Service Updates. Il convient de contrôler ensuite la version affichée par contentscannerstatus.
La chronologie rapportée distingue la disponibilité des correctifs de la prise de connaissance des attaques : The Hacker News indique que les versions corrigées figuraient dans une mise à jour de renforcement publiée le 14 septembre, tandis que Cisco a signalé en octobre avoir connaissance d’exploitations actives. The Hacker News détaille ces versions et cette chronologie. The Register rapporte que Cisco ne propose pas de solution de contournement ; les mesures correctives décrites sont la mise à jour d’AsyncOS ou du scanner.
Si une compromission est possible
La commande de vérification rapportée par The Hacker News est grep "System Security" system_logs. Un résultat sans indicateur ne permet pas d’écarter une compromission : un attaquant ayant obtenu les privilèges root pourrait masquer ou supprimer des traces. Le compte rendu recommande aussi d’examiner les journaux du pare-feu et du réseau externe, notamment à la recherche de transferts inhabituels vers des adresses inconnues.
Pour une appliance virtuelle potentiellement compromise, les étapes de récupération rapportées par Cisco sont à suivre dans cet ordre : préserver les éléments forensiques avant toute modification, déployer une nouvelle machine virtuelle avec une version corrigée, reconstruire la configuration sans importer l’ancien fichier, renouveler les identifiants et le matériel cryptographique, puis poursuivre la surveillance. Une mise à niveau de l’appliance compromise peut détruire les journaux et les éléments utiles à l’analyse. Si un membre d’un cluster est compromis, les consignes rapportées préconisent de restaurer tous les membres du cluster. Pour une appliance physique, elles orientent vers le Cisco Technical Assistance Center (TAC).
Qui est concerné par la directive BOD 26-04 ?
La directive BOD 26-04 s’applique aux agences du Federal Civilian Executive Branch, selon l’alerte de la CISA du 14 octobre 2026. Elle demande à ces agences de prioriser les vulnérabilités à haut risque sur les actifs exposés publiquement lorsque leur exploitation peut donner le contrôle total, et prévoit de vérifier si les systèmes ont été compromis avant leur correction. La CISA encourage les autres organisations à gérer les vulnérabilités du catalogue KEV selon les risques, sans étendre cette directive fédérale à toutes les organisations.
