Zero-day RCE с правами root в Cisco Secure Email Gateway используется в атаках

Компания Cisco сообщила об уязвимости нулевого дня в продукте Secure Email Gateway, которая уже используется злоумышленниками в реальных атаках. Уязвимость получила идентификатор CVE-2026-76461 и позволяет неаутентифицированному атакующему выполнить произвольные команды в операционной системе устройства с правами root. Это делает проблему критически опасной: компрометация почтового шлюза открывает путь к дальнейшему проникновению во внутреннюю инфраструктуру организации.

Подробности

Согласно информации Cisco, эксплуатация CVE-2026-76461 не требует аутентификации — то есть злоумышленнику достаточно иметь сетевой доступ к уязвимому интерфейсу устройства. Успешная атака приводит к выполнению команд (RCE) на уровне операционной системы с максимальными привилегиями root, что фактически означает полный контроль над шлюзом. Уязвимость затрагивает Cisco Secure Email Gateway — решение для фильтрации и защиты электронной почты, широко используемое в корпоративных и государственных инфраструктурах. Поскольку шлюз обрабатывает входящий почтовый трафик и часто размещается на периметре сети, он представляет собой привлекательную цель для атакующих. На момент публикации Cisco подтвердила факты активной эксплуатации уязвимости, что переводит её из разряда теоретических угроз в категорию немедленных рисков. Детали о конкретных версиях затронутого ПО, векторах доставки эксплойта и возможных индикаторах компрометации в исходном сообщении не раскрываются. Отдельно стоит отметить, что уязвимости класса root RCE в периметровых устройствах традиционно пользуются повышенным спросом у хакерских группировок и APT-операторов: они позволяют закрепиться в сети, обойти средства защиты и развить атаку вглубь инфраструктуры. Активная эксплуатация до выпуска патча означает, что окно уязвимости остаётся открытым для всех, кто ещё не принял защитные меры.

Что делать

В первую очередь необходимо проверить, используется ли в вашей организации Cisco Secure Email Gateway, и определить, имеет ли устройство прямой доступ из недоверенных сетей. Если продукт задействован, следует незамедлительно обратиться к официальному бюллетеню Cisco по CVE-2026-76461 и применить рекомендованные меры: установить обновления безопасности, как только они станут доступны, либо задействовать предложенные вендором обходные решения и временные компенсационные меры. До выпуска патча следует максимально ограничить сетевой доступ к интерфейсам шлюза, закрыв всё, что не требуется для штатной работы. Дополнительно рекомендуется усилить мониторинг: настроить оповещения о подозрительной активности на шлюзе и в смежных сегментах сети, проверить журналы на предмет признаков компрометации, а также убедиться в наличии актуальных резервных копий конфигураций. Учитывая уровень привилегий, которые получает атакующий, любые аномалии на устройстве следует рассматривать как потенциальный инцидент и проводить полноценное расследование. Организациям, использующим Cisco Secure Email Gateway, стоит рассматривать CVE-2026-76461 как приоритетный риск: сочетание нулевого дня, активной эксплуатации и максимальных привилегий не оставляет времени на отложенные решения. Своевременное обновление и ограничение доступности уязвимого сервиса — ключевые шаги, позволяющие снизить вероятность компрометации.

Источник: SecurityWeek