Cisco Secure Email Gateway : une faille exploitée à corriger

Une pièce jointe peut permettre une prise de contrôle

Dans son bulletin du 14 octobre 2026, Cisco indique avoir connaissance d’une exploitation active de la vulnérabilité CVE-2026-76519. Un attaquant distant, sans authentification, peut envoyer une pièce jointe spécialement conçue à travers une passerelle affectée. Il peut alors écrire des fichiers et exécuter des commandes avec les droits les plus élevés du système.

Cisco a publié des correctifs et ne propose aucune mesure de contournement. Le CERT-EU recommande de corriger rapidement, en donnant priorité aux équipements accessibles depuis Internet, et de rechercher des signes de compromission.

Des conditions cumulatives et des exceptions

Les équipements physiques et virtuels Secure Email Gateway sont concernés lorsqu’ils exécutent une version vulnérable d’AsyncOS (le système logiciel de la passerelle), que le service File Reputation (vérification de la réputation des fichiers) est activé et affecté à une politique de messagerie, et que Content Scanner Tools (le paquet d’outils d’analyse des contenus) est antérieur à 25.3.0.5525.

Les premières versions AsyncOS corrigées sont 15.5.5-014 pour la branche 15.5 et 16.5.0-780 pour la branche 16.5. Pour 16.0, Cisco demande une migration vers une version corrigée. Il recommande aux installations antérieures à 16.5 de migrer vers 16.5.0-780. Le correctif est également distribué par Content Scanner Tools aux versions AsyncOS sous licence et prises en charge.

Secure Email and Web Manager et Secure Web Appliance ne sont pas affectés. Pour Secure Email Cloud Gateway (la passerelle hébergée et administrée par Cisco), le paquet corrigé est déjà déployé : aucune mise à jour n’est demandée au client. Cisco recommande toutefois fortement aux clients contactés pour des indices de compromission de rétablir une configuration sûre, en renouvelant les identifiants et éléments cryptographiques installés sur la passerelle lorsque cela est possible.

Une intervention à engager sans attendre

Le bulletin est daté du 14 octobre 2026 ; aucune date limite calendaire n’est fixée. L’exploitation active justifie une prise en charge immédiate.

La mise à jour de Content Scanner Tools ne nécessite ni montée de version d’AsyncOS ni redémarrage. Si les mises à jour automatiques sont activées, Cisco ne demande pas d’action supplémentaire pour cette mise à jour une fois le paquet effectivement appliqué. Si elles sont désactivées, Cisco recommande une mise à jour manuelle.

Une mise à jour seule ne clôt pas une suspicion d’intrusion. Cisco avertit qu’un attaquant peut masquer les traces et, pour les équipements virtuels, qu’une montée de version d’une instance compromise détruit des données utiles aux investigations.

Les vérifications et actions à confier au responsable technique

• Établir l’exposition. Relever AsyncOS avec la commande version, documentée dans la fiche Cisco de lecture des versions, et Content Scanner Tools avec contentscannerstatus. Dans Mail Policies (politiques de messagerie), ouvrir les politiques entrantes et sortantes, puis Advanced Malware Protection (protection contre les logiciels malveillants), et vérifier Enable File Reputation pour chaque politique concernée.
• Rechercher les traces sur chaque équipement, y compris chaque membre d’un groupe. Le bulletin fournit la recherche grep “System Security” system_logs. En présence d’un indicateur, suivre les recommandations Cisco ; si le contrôle n’aboutit pas, contacter son assistance technique, le TAC. Recouper les journaux avec ceux du réseau et du pare-feu extérieurs à la passerelle : un résultat local négatif ne garantit pas l’absence d’intrusion.
• Corriger les équipements sans suspicion d’exploitation. Appliquer le paquet Content Scanner Tools, au minimum 25.3.0.5525, ou une version AsyncOS corrigée. Pour une mise à jour manuelle du paquet, Cisco fournit contentscannerupdate ; vérifier ensuite la version obtenue.
• En cas de suspicion sur un équipement physique, Cisco recommande de contacter le TAC et demande d’activer l’accès distant pour faciliter son investigation, selon la documentation liée dans le bulletin.
• En cas de suspicion sur un équipement virtuel, préserver d’abord les éléments d’investigation. Lorsque c’est possible, Cisco recommande fortement de déployer une nouvelle machine virtuelle corrigée, de reconstruire sa configuration sans importer d’ancien fichier de configuration, de renouveler les identifiants et éléments cryptographiques installés, puis de surveiller son comportement. Si cette restauration est impossible, il recommande de contacter le TAC.
• Traiter tout le groupe si un membre est compromis. Cisco recommande de remettre chaque membre dans une configuration sûre : les clés privées SSH (clés d’authentification des communications sécurisées entre équipements) peuvent avoir été dérobées et permettre une propagation.
• Pour la passerelle hébergée, suivre les recommandations de Cisco si vous avez été contacté. Sans accès à la ligne de commande, les administrateurs peuvent ne pas pouvoir vérifier eux-mêmes les indicateurs décrits ; Cisco a contacté directement les clients chez lesquels une activité malveillante a été détectée.

Pour organiser les mises à jour et le contrôle des événements de vos passerelles, VCSTS entretient les protections du périmètre confié : mises à jour des composants couverts, contrôle de la remontée des événements et traitement des alertes.