Cisco Secure Email Gateway'de saldırılarda kullanılan CVE-2026-76519: e-posta ekiyle root yetkisi, workaround yok
Cisco'nun 14 Ekim'de duyurduğu ve CISA'nın aynı gün KEV'e aldığı açık, File Reputation servisi açık cihazlarda kimlik doğrulamasız dosya yazmaya ve root yetkisiyle komut çalıştırmaya izin veriyor. Düzeltme hem AsyncOS sürümleriyle hem Content Scanner Tools paketiyle geliyor.
CVE-2026-76519
Cisco Secure Email Gateway'in Advanced Malware Protection (AMP) özelliğindeki CVE-2026-76519, kimliği doğrulanmamış uzak bir saldırganın cihazın işletim sistemine dosya yazmasına ve root yetkisiyle komut çalıştırmasına izin veriyor. Cisco'nun bildirimine göre açık, File Reputation servisi açıkken e-posta eklerinin hatalı işlenmesinden kaynaklanıyor; saldırganın cihaz üzerinden özel hazırlanmış ekli bir e-posta geçirmesi yetiyor. CVSS puanı 9,8.
Cisco bildirimi 14 Ekim 2026'da yayımladı ve PSIRT'in Ekim ayında aktif istismardan haberdar olduğunu yazdı. CISA açığı aynı gün KEV kataloğuna ekledi; federal kurumlara verilen süre 17 Ekim'de doldu ve kayıtta adli inceleme (forensic triage) şartı da var. Konu sitemizde daha önce yer almamıştı; upgrade'i hâlâ tamamlamamış ekipler için kontrol adımlarını topluyoruz. Cisco, açık için workaround bulunmadığını belirtiyor.
Etkilenen ve düzeltilmiş sürümler
Cihaz (fiziksel ya da sanal) şu iki koşul birlikte sağlanıyorsa etkileniyor: File Reputation servisi açık ve bir mail policy'ye atanmış; Content Scanner Tools sürümü 25.3.0.5525'ten eski.
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| AsyncOS for Secure Email Gateway 15.5 | 15.5.5-014 öncesi | 15.5.5-014 |
| AsyncOS for Secure Email Gateway 16.0 | Tüm sürümler | Düzeltilmiş bir sürüme geçiş |
| AsyncOS for Secure Email Gateway 16.5 | 16.5.0-780 öncesi | 16.5.0-780 |
| Content Scanner Tools paketi | 25.3.0.5525 öncesi | 25.3.0.5525 ve sonrası |
Cisco, 16.5 öncesi sürüm kullananlara 16.5.0-780'e geçmeyi öneriyor. Düzeltme ayrıca Content Scanner Tools paketinin güncel sürümüyle, lisanslı ve desteklenen tüm AsyncOS sürümlerine dağıtılıyor; bu güncelleme yazılım upgrade'i ya da yeniden başlatma gerektirmiyor. Secure Email and Web Manager ile Secure Web Appliance etkilenmiyor.
Beni etkiliyor mu?
- Web arayüzünde Mail Policies › Incoming Mail Policies › Advanced Malware Protection (ve Outgoing Mail Policies altındaki aynı bölüm) yolunu açın; policy'de "Enable File Reputation" kutusu işaretliyse servis açıktır.
- CLI'da Content Scanner Tools sürümüne bakın: Cisco'nun bildiriminde "Vulnerable Products" bölümünde verilen durum komutu yalnızca bileşen sürümünü ve son güncelleme zamanını listeler. Sürüm 25.3.0.5525'ten eskiyse cihaz açıktadır.
- Cisco'nun bildirimde verdiği iz kontrolü için sistem loglarında şu satırları arayın (cluster kullanıyorsanız her üyede ayrı ayrı):
grep "System Security" system_logsÇıktıda "Suspected compromise indicator was found" geçiyorsa Cisco bunu ele geçirilme belirtisi sayıyor; "Security scan did not complete" görürseniz TAC ile iletişime geçmeniz isteniyor. Cisco, root yetkisi alan saldırganın izleri silebileceği uyarısını da yapıyor; bu nedenle cihaz dışındaki firewall ve ağ loglarında cihazdan dış adreslere beklenmeyen yüklemeleri ve şüpheli indirmeleri ayrıca kontrol edin.
Ne yapılmalı?
- Content Scanner Tools paketinin 25.3.0.5525 ya da sonrasına güncellendiğini doğrulayın. Otomatik güncelleme açık cihazlarda ek işlem gerekmiyor; kapalıysa güncellemeyi elle başlatın ve Security Services › Service Updates altında otomatik güncellemeyi açmayı değerlendirin.
- AsyncOS'u tablodaki düzeltilmiş sürüme yükseltin; 16.0 dalındaysanız düzeltilmiş bir dala geçişi planlayın. Bunu change management sürecinizde acil değişiklik olarak ele alın.
- Ele geçirilme şüphesi varsa upgrade'den önce adli verileri kaydedin; Cisco, ele geçirilmiş bir örneği yükseltmenin adli veriyi ve logları yok edeceğini belirtiyor.
- Şüpheli sanal cihazlarda Cisco'nun önerisi: düzeltilmiş sürümle yeni bir sanal makine kurmak, yapılandırmayı eski yapılandırma dosyasını içe aktarmadan yeniden oluşturmak, cihazdaki kimlik bilgilerini ve kriptografik materyali yenilemek. Fiziksel cihazlarda TAC'e başvurulması isteniyor.
- Cluster üyeleri arasında SSH anahtar çiftleri kullanıldığı için, en az bir üyesinde ele geçirilme belirtisi olan cluster'ın tüm üyelerini güvenli yapılandırmaya döndürün.
- Cisco Secure Email Cloud kullanıyorsanız: Cisco, şüpheli etkinlik gördüğü müşterilerle doğrudan iletişime geçtiğini bildiriyor; bildirim alıp almadığınızı destek kanalınızdan teyit edin.
