14 października 2026 r. CISA dodała CVE-2026-76519 do katalogu znanych, aktywnie wykorzystywanych podatności (KEV), powołując się na dowody aktywnej eksploatacji (alert CISA). Cisco informowało w październiku o aktywnym wykorzystywaniu luki. Zgłoszone ryzyko dotyczy urządzeń Cisco Secure Email Gateway, na których jednocześnie włączono i przypisano do polityki pocztowej funkcję File Reputation, a Content Scanner Tools ma wersję starszą niż 25.3.0.5525.

Co może umożliwić CVE-2026-76519

Luka typu path traversal w obsłudze załączników przez Advanced Malware Protection (AMP) może pozwolić nieuwierzytelnionemu zdalnemu napastnikowi, który wyśle odpowiednio spreparowany załącznik przez podatną bramę, zapisywać dowolne pliki i wykonywać polecenia z uprawnieniami root. Tak opisuje jej skutki The Hacker News. The Register podał, że Cisco potwierdziło aktywne wykorzystywanie podatności; publikacje przypisują jej ocenę CVSS 9,8 na 10 (The Register).

Według The Hacker News poprawione kompilacje AsyncOS znalazły się w wydaniu z 14 września 2026 r. Cisco poinformowało o swojej wiedzy na temat aktywnej eksploatacji w październiku. Fizyczne i wirtualne urządzenia Secure Email Gateway z podatnym wydaniem AsyncOS podlegają opisanemu zakresowi, jeśli spełniają oba warunki konfiguracji. Secure Email and Web Manager oraz Secure Web Appliance nie należą do zakresu wskazanego w tej relacji.

Jak sprawdzić, czy konfiguracja spełnia oba warunki

Warunki muszą wystąpić łącznie. Opis kontroli opublikowany przez The Hacker News łączy ustawienie w polityce pocztowej ze sprawdzeniem wersji skanera.

Zgłoszony warunekJak go sprawdzić
File Reputation jest włączone i przypisane do polityki pocztowej.Otwórz właściwą politykę przychodzącą lub wychodzącą i sprawdź ustawienie w sekcji Advanced Malware Protection. Ścieżka dla poczty przychodzącej: Mail Policies > Incoming Mail Policies > Advanced Malware Protection; dla wychodzącej: odpowiednia ścieżka Outgoing Mail Policies.
Content Scanner Tools ma wersję starszą niż 25.3.0.5525.Uruchom contentscannerstatus i odczytaj wersję.

Sama obecność jednej z tych cech nie wystarcza, by spełnić oba zgłoszone warunki narażenia.

Zgłoszone poprawki i aktualizacja skanera

The Hacker News podał jako poprawione wydania AsyncOS 15.5.5-014 oraz 16.5.0-780. Alternatywą jest Content Scanner Tools w wersji 25.3.0.5525 lub nowszej, ale ta ścieżka dotyczy licencjonowanych i wspieranych wydań AsyncOS. Według tej relacji aktualizacja skanera może zostać zainstalowana bez aktualizacji AsyncOS i bez ponownego uruchamiania urządzenia.

Jeśli automatyczne aktualizacje skanera są wyłączone, administrator może uruchomić contentscannerupdate albo włączyć aktualizacje w Security Services > Service Updates. Po aktualizacji warto sprawdzić wersję poleceniem contentscannerstatus, zamiast zakładać, że aktualizacja automatyczna już się zakończyła. The Register podał, że Cisco nie wskazało obejścia podatności; opisane działania naprawcze obejmują aktualizację skanera lub przejście na poprawione wydanie AsyncOS.

Kontrola oznak przejęcia i odzyskiwanie urządzenia

Zgłoszone polecenie kontroli to grep "System Security" system_logs; należy je uruchomić na każdym członku klastra. Wynik bez wykrytego wskaźnika nie dowodzi, że urządzenie jest czyste: napastnik z uprawnieniami root może ukryć lub usunąć ślady. Zalecenia Cisco przytoczone przez The Hacker News obejmują także przegląd logów zapór i zewnętrznego ruchu sieciowego pod kątem nietypowych transferów, w tym wysyłania danych na nieznane adresy.

W przypadku podejrzenia przejęcia maszyny wirtualnej kolejność działań ma znaczenie: najpierw zachowaj dane do analizy, a dopiero potem wprowadź zmiany. Zgłoszone zalecenia Cisco obejmują uruchomienie nowej maszyny wirtualnej z poprawionym wydaniem, odtworzenie konfiguracji bez importowania poprzedniego pliku, odnowienie poświadczeń i materiałów kryptograficznych oraz dalsze monitorowanie. Jeśli przejęto jeden element klastra, zalecenie obejmuje odtworzenie wszystkich jego członków. W sprawie fizycznego urządzenia Cisco kieruje klientów do Technical Assistance Center (TAC).

Cisco, według The Hacker News, skontaktowało się z klientami Secure Email Cloud, których urządzenia wykazywały oznaki możliwego przejęcia, i wdrożyło w tej usłudze poprawioną wersję skanera. Powiadomieni klienci nie muszą podejmować działań, by otrzymać tę poprawkę; Cisco prosiło ich, o ile to możliwe, o odnowienie poświadczeń i materiałów kryptograficznych.

Kogo obejmuje dyrektywa CISA BOD 26-04

CISA wskazuje, że Binding Operational Directive 26-04 dotyczy agencji Federal Civilian Executive Branch (FCEB), a nie wszystkich organizacji. Dyrektywa obejmuje priorytetyzację podatności wysokiego ryzyka w systemach dostępnych z internetu, gdy ich wykorzystanie może dać pełną kontrolę, oraz oczekiwanie sprawdzenia systemów pod kątem przejęcia przed instalacją poprawek. Pozostałym organizacjom CISA zaleca zarządzanie podatnościami z uwzględnieniem ryzyka i priorytetowe traktowanie wpisów KEV (alert CISA z 14 października 2026 r.).