Šta se desilo?

Cisco je objavio hitno bezbednosno upozorenje zbog kritične ranjivosti CVE-2026-76461 u AsyncOS softveru za Cisco Secure Email Gateway koja se aktivno iskorišćava u napadima.

Ranjivost se nalazi u mehanizmu za obradu email poruka i omogućava udaljenom napadaču bez autentifikacije da pošalje posebno pripremljenu poruku sa zlonamernim SQL naredbama. Uspešna eksploatacija može dovesti do izvršavanja proizvoljnih komandi sa root privilegijama na uređaju.

Ranjivost ima CVSS 3.1 ocenu 9,8 od maksimalnih 10, a Cisco je potvrdio da je tokom septembra 2026. zabeležio njeno aktivno iskorišćavanje.

Koga pogađa?

Ranjivost pogađa Cisco Secure Email Gateway, fizičke i virtuelne uređaje koji koriste ranjive verzije AsyncOS softvera, bez obzira na njihovu konfiguraciju.

Cisco Secure Email and Web Manager i Cisco Secure Web Appliance nisu pogođeni ovom konkretnom ranjivošću.

Cisco Secure Email Cloud koristi Secure Email Gateway uređaje kao deo svoje infrastrukture. Cisco je svoje cloud uređaje već nadogradio na verziju 16.5.0-780 i direktno kontaktirao korisnike kod kojih su pronađeni indikatori moguće kompromitacije.

Kako se zaštititi?

  • Odmah nadogradite AsyncOS na verziju 16.5.0-780 ili odgovarajuću zakrpljenu verziju za granu koju koristite.
  • Pregledajte mail_logs i potražite sumnjive SQL naredbe, posebno obrasce koji sadrže "COPY ... TO PROGRAM".
  • Proverite firewall i druge spoljne mrežne logove zbog neuobičajenih odlaznih konekcija, upload-a ili preuzimanja sa sumnjivih IP adresa.
  • Ako postoji sumnja na kompromitovanje virtuelnog uređaja, najpre sačuvajte forenzičke podatke, pa postavite novu virtuelnu instancu sa zakrpljenom verzijom i obnovite konfiguraciju, prema Cisco preporuci.
  • Za fizički uređaj sa sumnjom na kompromitovanje kontaktirajte Cisco TAC.
  • Ako je kompromitovan jedan član klastera, oporavak mora obuhvatiti svaki član: napadač može ukrasti privatne SSH ključeve za komunikaciju unutar klastera.
  • U slučaju potvrđenog ili sumnjivog kompromitovanja obnovite administratorske kredencijale i kriptografske materijale instalirane na uređaju.
  • Ograničite pristup administratorskim interfejsima samo na pouzdane mreže i uređaje.
  • Odvojite email saobraćaj od administratorskog interfejsa korišćenjem zasebnih mrežnih interfejsa gde je moguće.

Tehnički detalji

CVE-2026-76461 je SQL injection ranjivost u logici za parsiranje email poruka u Cisco AsyncOS softveru za Secure Email Gateway.

Napadač može da pošalje posebno pripremljenu email poruku koja sadrži zlonamerne SQL naredbe. Zbog nedovoljne validacije sadržaja, uređaj može izvršiti proizvoljne SQL naredbe, što dalje omogućava izvršavanje komandi na operativnom sistemu sa root privilegijama.

Za eksploataciju nije potreban korisnički nalog niti interakcija administratora. Cisco upozorava da napadač sa root pristupom može ukloniti ili prikriti tragove kompromitovanja, zbog čega pregled logova samo na pogođenom uređaju možda neće biti dovoljan.

Prve ispravljene verzije su AsyncOS 15.5.5-014 za granu 15.5 i ranije, 16.0.4-302 za granu 16.0 i 16.5.0-780 za granu 16.5. Cisco snažno preporučuje prelazak na verziju 16.5.0-780. Za ovu ranjivost ne postoji alternativna privremena mera koja može zameniti instaliranje bezbednosne ispravke.

Zašto je važno?

Email gateway uređaji nalaze se na veoma osetljivoj poziciji u infrastrukturi organizacije i obrađuju veliki deo dolazne i odlazne komunikacije. Kompromitovanje takvog sistema sa root privilegijama može napadaču omogućiti dugotrajan pristup, presretanje podataka i dalje širenje napada unutar organizacije.

Organizacije u Srbiji i regionu koje koriste Cisco Secure Email Gateway trebalo bi da ovaj incident tretiraju kao prioritet, posebno zato što je aktivna eksploatacija već potvrđena.

Preporuka Sajber Radara

Ako koristite Cisco Secure Email Gateway, odmah proverite verziju AsyncOS softvera i instalirajte odgovarajuću bezbednosnu ispravku. Istovremeno analizirajte mail, firewall i mrežne logove zbog mogućih znakova ranije eksploatacije.

Ako postoje indikatori kompromitovanja, nemojte se zaustaviti samo na instaliranju zakrpe. Izolujte uređaj, sačuvajte forenzičke podatke i obnovite potencijalno kompromitovane kredencijale i kriptografske materijale.