در تاریخ ۱۴ اکتبر ۲۰۲۶، شرکت سیسکو یک هشدار امنیتی منتشر کرد که به یک آسیب‌پذیری بحرانی در ویژگی Advanced Malware Protection (AMP) از Cisco Secure Email Gateway اشاره داشت. این آسیب‌پذیری می‌تواند به مهاجم ناشناس و دوردست اجازه دهد تا فایل‌های دلخواه را بنویسد و با دسترسی ریشه‌ای (root privileges) دستورات را بر روی سیستم‌عامل زیرین اجرا کند [1].
گروه واکنش امنیتی سیسکو (Cisco PSIRT) از بهره‌برداری فعال از این آسیب‌پذیری مطلع شده است [1]. نکته مهم اینجاست که مهاجمان در حال سوء استفاده هستند و ضرورت به‌روزرسانی فوری را نشان می‌دهد.
مرکز اروپایی واکنش به حوادث رایانه‌ای (CERT-EU) قویاً توصیه می‌کند که بسته Content Scanner Tools را به‌روزرسانی کنید یا Cisco AsyncOS Software را در اسرع وقت به نسخه ثابت ارتقا دهید، با اولویت قرار دادن دستگاه‌هایی که از اینترنت قابل دسترسی هستند. همچنین CERT-EU بر بررسی تمام دستگاه‌های آسیب‌دیده برای یافتن نشانه‌های نفوذ تاکید می‌کند.
آسیب‌پذیری CVE-2026-76519، با امتیاز CVSS برابر با ۹.۸، یک اشکال traversal مسیر نسبی در ویژگی AMP Cisco Secure Email Gateway است که به مهاجم ناشناس و دوردست اجازه می‌دهد تا فایل‌های دلخواه را بر روی سیستم‌عامل زیرین بنویسد. این آسیب‌پذیری ناشی از نحوه نامناسب مدیریت پیوست‌های ایمیل هنگام فعال بودن سرویس File Reputation است. یک مهاجم می‌تواند با ارسال یک ایمیل حاوی پیوست دستکاری‌شده از طریق دستگاه آسیب‌پذیر، از آن سوء استفاده کند و در صورت موفقیت‌آمیز بودن، فایل‌هایی دلخواه را بنویسد و دستورات را با امتیاز ریشه‌ای اجرا کند [1].
همانطور که سیسکو اشاره کرده است، دستگاه‌های Secure Email Gateway می‌توانند بخشی از خوشه‌ها (clusters) باشند. در این حالت کلیدهای SSH خصوصی مورد استفاده برای احراز هویت بین اعضای خوشه می‌تواند بر روی یک دستگاه به خطر افتاده قابل دسترسی باشد؛ این امر ممکن است به مهاجم اجازه دهد تا سایر اعضای خوشه را نیز به خطر اندازد. پس از بهره‌برداری موفقیت‌آمیز، مهاجمان ممکن است شواهد سوء استفاده و شاخص‌های نفوذ را حذف یا پنهان کنند [1].
این آسیب‌پذیری بر Cisco Secure Email Gateway (هم فیزیکی و هم مجازی) که از نسخه‌های زیر از Cisco AsyncOS Software استفاده می‌کنند، تاثیر می‌گذارد [1]:
- نسخه های نامشخص
اطلاعات فوق منعکس کننده اطلاعات نسخه ثابت سیسکو است. این رفع اشکال همچنین در تمام نسخه‌های Cisco AsyncOS Software دارای مجوز و پشتیبانی شده از طریق یک بسته Content Scanner Tools به‌روزرسانی شده توزیع می‌شود، و نسخه‌های ۲۵.۳.۰.۵۵۲۵ و بالاتر از Content Scanner Tools حاوی این رفع هستند [1].
برای تعیین اینکه آیا سرویس File Reputation فعال است یا خیر، مدیران می‌توانند در رابط مدیریت مبتنی بر وب Mail Policies > Incoming Mail Policies > Advanced Malware Protection یا Mail Policies > Outgoing Mail Policies > Advanced Malware Protection را انتخاب کرده و یک سیاست ایمیل را بررسی کنند و کادر Enable File Reputationرا بازرسی کنند. برای تعیین نسخه Content Scanner Tools در حال اجرا، سیسکو دستور CLI زیر را ارائه می‌دهد [1]:
[دستور CLI]سیسکو تایید کرده است که این آسیب‌پذیری بر Secure Email and Web Manager یا Secure Web Appliance تاثیری ندارد. برای مشتریان Cisco Secure Email Cloud Gateway، سیسکو اظهار داشته است که نیازی به اقدام نیست، زیرا نسخه ثابت Content Scanner Tools از قبل مستقر شده است [1].
اطلاعات بیشتر در هشدار فروشنده [1] موجود است.
سیسکو توصیه می‌کند برای شناسایی تلاش‌های بهره‌برداری، لاگ‌های سیستم را برای هر دستگاه آسیب‌پذیر بررسی کنید[1]:
- یک یا چند پیام لاگ در جدول زیر ممکن است در خروجی وجود داشته باشد [1].
در هشدار خود، سیسکو هیچ شاخص واقعی از نفوذ را ذکر نمی‌کند. همچنین مشخص نیست که چگونه پیام‌های لاگ توصیف شده در بالا تولید می‌شوند.
📌 توجه: این مطلب از منابع بین‌المللی ترجمه و بازنویسی شده است.