A CISA incluiu a CVE-2026-76519 no catálogo de Vulnerabilidades Conhecidamente Exploradas (KEV) em 14 de outubro de 2026, com base em evidências de exploração ativa. A Cisco informou, durante outubro, que tinha conhecimento desses ataques. No Cisco Secure Email Gateway, a exposição relatada depende de duas condições específicas: File Reputation habilitado e associado a uma política de e-mail, e Content Scanner Tools anterior à versão 25.3.0.5525. A CISA confirmou a inclusão no KEV; The Register relatou a declaração da Cisco.
O que a CVE-2026-76519 pode permitir
A falha é um path traversal — uma manipulação de caminhos de arquivos — no processamento de anexos do Advanced Malware Protection (AMP). Segundo o relato técnico do The Hacker News, um invasor remoto sem autenticação poderia enviar um e-mail especialmente preparado pelo gateway afetado e, se a exploração fosse bem-sucedida, gravar arquivos e executar comandos com privilégios de root no sistema operacional do equipamento. O impacto potencial é grave, mas não equivale a uma confirmação de invasão de um aparelho específico.
A falha afeta equipamentos físicos ou virtuais Cisco Secure Email Gateway que executem uma versão vulnerável do AsyncOS e atendam às duas condições de configuração abaixo. A análise do The Hacker News também identifica uma versão corrigida do scanner: Content Scanner Tools 25.3.0.5525 ou posterior.
Como verificar as condições de exposição
As duas condições precisam ocorrer juntas. A primeira é uma configuração de política de e-mail; a segunda, a versão do scanner. O caminho da interface varia conforme a política seja de entrada ou de saída.
| Condição | Como verificar |
| File Reputation está habilitado e associado a uma política de e-mail | Na política pertinente, acesse Mail Policies > Incoming Mail Policies > Advanced Malware Protection ou o caminho correspondente em Outgoing Mail Policies e confira se Enable File Reputation está selecionado. |
| Content Scanner Tools está abaixo de 25.3.0.5525 | Execute contentscannerstatus e confira a versão instalada. |
Correções relatadas para o gateway
O The Hacker News relata como corrigidas as versões AsyncOS 15.5.5-014 e AsyncOS 16.5.0-780. Também informa que Content Scanner Tools 25.3.0.5525 ou posterior corrige a falha em versões licenciadas e com suporte do AsyncOS. Essa atualização do scanner pode ser instalada sem atualizar o AsyncOS nem reiniciar o equipamento.
Se as atualizações automáticas do scanner estiverem desativadas, o comando contentscannerupdate é uma opção relatada para iniciar a atualização; também é possível habilitar as atualizações em Security Services > Service Updates. Depois, confira a versão com contentscannerstatus em vez de presumir que a atualização automática já foi aplicada.
A cronologia importa: segundo o The Hacker News, as versões corrigidas já estavam disponíveis na atualização de segurança publicada em 14 de setembro de 2026. A Cisco informou durante outubro que tinha conhecimento de exploração ativa. A data em que os ataques começaram não é estabelecida por essa sequência.
Verificação de comprometimento e recuperação
O comando de verificação relatado é grep "System Security" system_logs. Um resultado sem indicadores não prova que o aparelho está limpo: um invasor com acesso root poderia remover ou ocultar evidências. A orientação atribuída à Cisco pelo The Hacker News também recomenda executar a verificação em cada membro do cluster e examinar registros externos de firewall e de rede em busca de transferências incomuns, inclusive envios para endereços desconhecidos.
Para um equipamento virtual possivelmente comprometido, a sequência relatada começa pela preservação dos dados forenses, antes de qualquer alteração. Em seguida, a orientação é implantar uma nova máquina virtual com uma versão corrigida, reconstruir a configuração sem importar o arquivo antigo, renovar credenciais e material criptográfico e manter o monitoramento. Se um membro de um cluster estiver comprometido, a recomendação relatada é restaurar todos os membros, pois as chaves SSH privadas de um deles podem expor os demais. Para investigar um equipamento físico, a orientação é contatar o Cisco Technical Assistance Center (TAC).
A quem se aplica a BOD 26-04
A BOD 26-04 se aplica às agências do Poder Executivo Civil Federal dos Estados Unidos. A diretriz prioriza vulnerabilidades de alto risco em ativos expostos à internet quando a exploração pode conceder controle total e prevê verificar sinais de comprometimento antes da correção. A CISA incentiva outras organizações a priorizar vulnerabilidades do KEV com uma gestão baseada em risco, mas não estende a elas o alcance da diretriz. O alerta da CISA detalha o escopo da BOD 26-04.
