Cisco corrige une faille critique déjà exploitée dans Secure Email Gateway
Cisco alerte sur une vulnérabilité critique de Secure Email Gateway, notée 9,8 sur 10 et déjà exploitée. Un e-mail contenant une pièce jointe spécialement conçue peut permettre à un attaquant d'exécuter des commandes avec les privilèges root. Des correctifs sont disponibles.
Cisco a publié un avis de sécurité concernant une vulnérabilité critique de Secure Email Gateway, sa solution de protection des messageries électroniques. Référencée CVE-2026-76519 et évaluée à 9,8 sur 10 selon le système CVSS, cette faille permet à un attaquant distant non authentifié d'écrire des fichiers arbitraires sur le système d'exploitation de l'équipement et, en cas d'exploitation réussie, d'exécuter des commandes avec les privilèges root.
L'éditeur confirme que la vulnérabilité fait déjà l'objet d'une exploitation active. Son équipe de réponse aux incidents de sécurité (PSIRT) en a pris connaissance en octobre. Cisco indique également avoir identifié des indices d'une possible compromission sur certains équipements de son offre Secure Email Cloud et avoir contacté directement les clients concernés. Il s'agit par ailleurs de la deuxième faille zero-day de Secure Email Gateway signalée comme exploitée en l'espace d'un mois, après CVE-2026-76461, selon BleepingComputer.
La faille provient d'un traitement incorrect des pièces jointes par la fonctionnalité Advanced Malware Protection (AMP), lorsque le service File Reputation est activé. Un attaquant peut l'exploiter en faisant transiter un e-mail contenant une pièce jointe spécialement conçue par une passerelle vulnérable. Le problème touche les versions physiques et virtuelles de Cisco Secure Email Gateway exécutant une version vulnérable d'AsyncOS, lorsque le service File Reputation est activé et associé à une politique de messagerie, et que la version de Content Scanner Tools est antérieure à 25.3.0.5525. Secure Email and Web Manager et Secure Web Appliance ne sont pas concernés.
Des correctifs disponibles
Cisco a publié plusieurs mises à jour pour corriger la vulnérabilité. Les versions AsyncOS 15.5.5-014 et 16.5.0-780 intègrent le correctif, tandis que les utilisateurs de la branche 16.0 doivent migrer vers une version corrigée. Le fournisseur recommande aux organisations utilisant une version antérieure à AsyncOS 16.5 de passer à la version 16.5.0-780.
Le correctif peut aussi être appliqué directement via Content Scanner Tools, à partir de la version 25.3.0.5525. Cette mise à jour ne nécessite ni mise à niveau complète d'AsyncOS ni redémarrage de l'équipement. Cisco précise qu'aucune solution de contournement n'est disponible. Au-delà de l'installation du correctif, Cisco recommande aux administrateurs de rechercher d'éventuels signes d'exploitation sur les équipements concernés. Si une compromission est suspectée, le fournisseur préconise des mesures de remédiation supplémentaires.
Cisco indique également avoir identifié des indices d'une possible compromission sur certains équipements de son offre Secure Email Cloud et avoir contacté directement les clients concernés. Le fournisseur a déjà déployé les mesures de protection relevant de son infrastructure et poursuit les opérations de remédiation et de récupération auprès de ces clients.
L’actualité IT en Suisse et à l’international, avec un focus sur la Suisse romande, directement dans votre boîte mail > Inscrivez-vous à la newsletter d’ICTjournal, envoyée du lundi au vendredi!
