Cisco 警告：新的高危 Secure Email Gateway 漏洞正遭活跃攻击

Cisco 在周三发布的公告中表示，攻击者正在利用 Cisco Secure Email Gateway 中的一个高危漏洞，该漏洞允许无需登录的发件人向设备的操作系统写入文件。

攻击者通过网关发送一封带有特制附件的电子邮件，一旦成功，就可能以 root 身份执行命令。该设备用于过滤组织邮件中的垃圾邮件、恶意软件和其他威胁，且只有启用了 File Reputation 服务并运行低于 25.3.0.5525 版本的 Content Scanner Tools 包的网关才受此漏洞影响。

修复程序自 9 月 14 日起已随 AsyncOS 15.5.5-014 和 16.5.0-780 发布，这是 Cisco 当天在加固版本中列为已修复的构建版本，该公司现在表示其中已涵盖此漏洞。修复同时以 Content Scanner Tools 更新（25.3.0.5525 或更高版本）的形式提供，无需软件升级或重启即可安装。

Cisco 在其内部安全扫描中发现了该漏洞（编号为 CVE-2026-76519，CVSS 评分：9.8），并于 10 月获悉攻击情况。公告未说明有多少设备遭到攻击、攻击者是谁，或攻击者是否在任何设备上获得了 root 权限。

Cisco 已联系其托管式 Secure Email Cloud 服务中设备显示"可能被入侵指标"的客户，并表示正在参与修复和恢复工作。这些托管网关的管理员可能没有运行下方入侵检查所需的命令行访问权限，且 Cisco 已在该服务中部署了修复后的扫描器，因此他们无需采取任何行动即可获得修复。

谁会受影响

两个条件必须同时满足。作为处理附件的 Advanced Malware Protection（AMP）功能一部分的 File Reputation 服务必须已启用并分配给某条邮件策略，且 Content Scanner Tools 版本必须低于 25.3.0.5525。

运行易受攻击的 AsyncOS 版本的物理和虚拟网关均受影响。Secure Email and Web Manager 和 Secure Web Appliance 不受影响。

要检查第一个条件，请打开 Mail Policies > Incoming Mail Policies > Advanced Malware Protection，或 Outgoing Mail Policies 下的相同路径，选择一条邮件策略并查看 Enable File Reputation 复选框。要检查第二个条件，请在 CLI 运行 contentscannerstatus，它会显示版本及上次更新时间。

如何修复

最快的途径是更新扫描器。已开启自动 Content Scanner Tools 更新的网关在更新应用后无需任何操作，因此请通过 contentscannerstatus 确认版本为 25.3.0.5525 或更高，而不要想当然认为更新已到达。

在自动更新关闭的情况下，请在 CLI 运行 contentscannerupdate，或在 Security Services > Service Updates 下开启自动更新。

完整的 AsyncOS 修复包含在以下首批修复版本中：

• 15.5：15.5.5-014
• 16.0：无修复版本。请迁移至修复版本。
• 16.5：16.5.0-780
• Content Scanner Tools（所有已获许可且受支持的 AsyncOS 版本）：25.3.0.5525 或更高

Cisco 建议任何低于 16.5 的网关迁移至 16.5.0-780。运行 16.0.4-302（修复 9 月 SQL 注入漏洞的构建版本）的 16.0 网关并未修复此漏洞，且公告未列出哪些版本属于可进行扫描器更新的已获许可且受支持版本。对于停留在 16.0 的 16.0 网关，contentscannerstatus 显示的扫描器版本是公告提供的唯一确认方式。

没有变通方案。对于显示被入侵迹象的虚拟设备，Cisco 的指导是使用新凭证重建，并警告升级被入侵的实例会破坏取证数据和日志。

如何检查是否被入侵

Cisco 检查是否遭遇利用尝试只需在设备上执行一条命令：grep "System Security" system_logs。它返回以下三种消息之一：

• System Security: Suspected compromise indicator was found. Contact TAC for further recommendations.（检测到入侵。请遵循下方的恢复步骤。）
• System Security: Security scan did not complete. Contact TAC for further recommendations.（请联系 Cisco 技术援助中心（TAC）。）
• System Security: No compromise indicator was found.（此次检查未发现入侵。如果设备运行受影响版本，请升级。）

请在集群的每个成员上运行。结果干净并不代表安全：拥有 root 权限的攻击者可能删除或隐藏证据，因此还应在设备外检查防火墙和网络日志，寻找向外部 IP 的意外上传或来自恶意 IP 的下载。公告未说明扫描的具体检测内容。

如果设备被入侵

对于物理设备，Cisco 要求客户联系 TAC 并启用远程访问，以便其工程师进行调查。对于虚拟设备，其步骤为：

• 首先保留取证数据。升级被入侵的实例会破坏其日志和证据。
• 在修复版本上部署新的虚拟机。
• 重建配置，不要导入任何先前的配置文件。
• 更新设备上的凭证和加密材料，然后持续监控异常行为。

集群成员之间使用 SSH 密钥对进行身份验证。被入侵成员的私钥可能为攻击者提供进入其他成员的途径，因此 Cisco 建议恢复包含至少一台被入侵设备的整个集群的所有成员。已联系的 Secure Email Cloud 客户被要求在可能的情况下更新凭证和加密材料。

9 月的版本发布

这是 Cisco 一个月内确认的第二个 Secure Email Gateway 正遭利用的漏洞。9 月 14 日，它披露了 CVE-2026-76461，这是网关邮件解析中的一个 SQL 注入漏洞，可能让未经身份验证的发件人通过特制邮件以 root 身份执行命令。

该漏洞影响所有配置，并于当天被加入 CISA 的已知被利用漏洞（KEV）目录。这两个漏洞位于软件的不同部分，日志检查方式也不同，Cisco 尚未将两次攻击联系起来。

同一天，Cisco 为该网关和 Secure Email and Web Manager 发布了一个加固版本，将内部发现的漏洞按弱点类别归入五个伞形 CVE：CVE-2026-76440、CVE-2026-76441、CVE-2026-20353 和 CVE-2026-76443（评分均为 9.8），以及评分 7.5 的 CVE-2026-76442。每个评分是该类别中漏洞的最高分，公告附带了 15.5.5-014 和 16.5.0-780 构建版本。

Cisco 于周三更新了该公告，现在表示"其中两个已知正被积极利用"：位于路径遍历类别的文件写入漏洞，以及位于不当中和类别的 9 月 SQL 注入漏洞。它未发现针对该版本中其他漏洞的攻击。

根据 Cisco 6 月制定的披露政策，在加固版本中修复的漏洞共享分组 CVE，而当漏洞已知被利用等原因出现时，它会获得自己的 CVE。文件写入漏洞于 9 月在路径遍历分组内修复，并于周三获得了自己的公告。

这也是 Cisco 自 12 月以来确认在这些设备上遭利用的第三个 root 级别漏洞。当时，被 Cisco Talos 追踪为 UAT-9686 的与中国有关的组织利用了垃圾邮件隔离功能中的一个零日漏洞 CVE-2025-20393，Cisco 已于 1 月修复。