A Cisco biztonsági frissítéseket adott ki a Secure Email Gateway kritikus sérülékenységéhez, amelyet támadók már kihasználtak az operációs rendszer legmagasabb jogosultsági szintjén történő parancsvégrehajtásra. A hibát egy speciálisan kialakított e-mail is kiválthatja, így a támadási útvonal éppen azon az infrastruktúrán keresztül vezet, amelyre a szervezetek a levelezés ellenőrzését és védelmét bízzák.
A CVE-2026-76461 azonosítójú sérülékenység 9,8-as CVSS-pontszámot kapott a tízfokú skálán. A Cisco 2026. szeptember 14-én tette közzé a közleményt, miután ugyanabban a hónapban tudomást szerzett az aktív kihasználásról. A Cisco hivatalos biztonsági közleménye
A Rapid7 rendkívüli frissítési prioritásként kezeli a problémát: a támadó hitelesítő adatok és az eszköz adminisztrációs felületéhez való hozzáférés nélkül is elérheti a sérülékeny funkciót. A Rapid7 elemzése
Az érintett szervezetek előtt két külön feladat áll: meg kell szüntetniük a sérülékenységet, és meg kell állapítaniuk, hogy a támadók kihasználták-e azt korábban. A frissítés a szoftverhibát kezeli, de kompromittálódásra utaló bizonyíték esetén az eszköz sértetlenségét és az azon tárolt hitelesítő adatokat is értékelni kell.
A rosszindulatú e-mail közvetlenül az átjárót támadja
A sérülékenység a Secure Email Gateway alapját adó Cisco AsyncOS e-mail-feldolgozó funkcióját érinti. A nem megfelelő bemenetellenőrzés miatt az érintett eszköz feldolgozhatja a speciálisan kialakított üzenetbe ágyazott rosszindulatú SQL-utasításokat. Ez végül az operációs rendszer szintjén történő parancsvégrehajtáshoz vezethet.
A Truesec műszaki értékelése szerint a támadás az átjáró szokásos levélfeldolgozási működését használja ki. A támadónak ehhez nem kell bejelentkeznie az adminisztrációs konzolba. A Truesec értékelése
Ez üzemeltetési szempontból lényeges különbség. A menedzsmentfelület elérésének korlátozása csökkentheti az adminisztrációs szolgáltatások elleni támadások kockázatát, de nem szünteti meg az olyan üzenetek feldolgozásában található hibát, amelyek fogadása az eszköz alapvető feladata.
A támadás nem függ attól, hogy egy munkatárs megnyit-e egy mellékletet vagy rákattint-e egy hivatkozásra. Maga az átjáró a sérülékeny összetevő, így a kihasználás lehetősége már azelőtt fennáll, hogy az üzenet eljutna a címzetthez.
Az adathalászat elleni tudatossági képzés ezért továbbra is hasznos, de ebben az esetben nem helyettesítheti az érintett szoftver javítását.
A rootjogosultság kockázata túlmutat a levélszűrésen
Sikeres kihasználás esetén a támadó rootjogosultsággal hajthat végre parancsokat, ami lehetőséget teremthet az eszköz operációs rendszerének irányítására.
A kompromittálódás lehetséges következményei közé tartozhat az adatlopás, a levelezés megfigyelése, a tartós hozzáférés kialakítása és a továbblépés más, az átjáróról elérhető rendszerekre. Ezek azonban lehetséges hatások: nem bizonyítják, hogy minden megfigyelt támadás során valamennyi ilyen tevékenység megtörtént.
Az üzleti jelentőség így túlmutat egyetlen biztonsági termék rendelkezésre állásán. Egy kompromittált levelezési átjáró megingathatja a kommunikáció bizalmasságába és a hozzá kapcsolódó rendszerek megbízhatóságába vetett bizalmat.
A tényleges kitettség az adott telepítéstől, az eszköz számára hozzáférhető információktól és a támadó hozzáférés utáni tevékenységétől függ. A vizsgálatnak ezért a valós hatást kell feltárnia. Nem indokolt automatikusan azt feltételezni, hogy minden levelet elloptak, ahogyan azt sem, hogy egy sikeres szoftverfrissítés minden következményt megszüntetett.
Biztonsági hatóságok is figyelmeztettek az aktív kihasználásra
A sérülékenység szeptember 14-én bekerült az amerikai Kiberbiztonsági és Infrastruktúra-biztonsági Ügynökség, a CISA ismerten kihasznált sérülékenységeket tartalmazó KEV-katalógusába. A Kanadai Kiberbiztonsági Központ szintén figyelmeztetést adott ki, amelyben megerősítette a Cisco aktív kihasználásról szóló tájékoztatását, és a megfelelő frissítések alkalmazására irányította az üzemeltetőket. Rapid7: kihasználási státusz és KEV-besorolás, a kanadai hatóság figyelmeztetése
Az Egyesült Királyságban az NHS England riasztása arra hívta fel a figyelmet, hogy a sikeres kihasználás hitelesítés nélküli távoli támadóknak biztosíthat rootjogosultságú parancsvégrehajtást. A szervezet Nemzeti Kiberbiztonsági Műveleti Központja valószínűnek értékelte a további kihasználást, és a releváns frissítések mielőbbi telepítését sürgette. Az NHS England biztonsági riasztása
Ezek a figyelmeztetések igazolják, hogy a probléma már túlmutat az elméleti támadhatóságon. A jelentős frissítési hátralékot kezelő szervezeteknél az aktív kihasználás konkrét indokot ad a javítás felgyorsítására.
A kihasználás megerősítése ugyanakkor nem mutatja meg a kampány méretét. A Rapid7 szeptember 15-i közleménye még nem kapcsolta az észlelt tevékenységet konkrét elkövetőhöz. Ebből ezért nem vezethető le, hogy egy meghatározott bűnözői csoport vagy államilag támogatott szereplő áll a támadások mögött.
Érintett verziók és elérhető javítások
A sérülékenység a fizikai és virtuális Secure Email Gateway-eszközöket egyaránt érinti, az eszköz konfigurációjától függetlenül. A Cisco az alábbi első javított kiadásokat sorolja fel:
| Cisco AsyncOS kiadási ág | A javítást elsőként tartalmazó kiadás |
|---|---|
| 15.5 és korábbi ágak | 15.5.5-014 |
| 16.0 | 16.0.4-302 |
| 16.5 | 16.5.0-780 |
A gyártó a 16.5-nél korábbi kiadásokat használó ügyfeleknek kifejezetten a 16.5.0-780-as verzióra történő átállást javasolja. A táblázat az adott sérülékenység első javított kiadásait mutatja; a tényleges frissítési cél kiválasztásakor a Cisco aktuális útmutatását kell követni. Cisco: javított kiadások
A Qualys ügyfelei a 317880-as QID segítségével kereshetik az érintett eszközöket. A Qualys műszaki közleménye
Az eszközleltárt össze kell vetni a gyártó kiadási útmutatásával, beleértve a tartalék rendszereket és a klaszterek valamennyi tagját. Egyetlen átjáró frissítését igazoló változáskezelési bejegyzés nem bizonyítja, hogy minden levelezést feldolgozó eszköz javítása megtörtént.
Nincs olyan gyártó által megadott kerülő megoldás, amely megszüntetné a sérülékenységet. A hálózati korlátozások és a megfigyelés csökkenthetik a kockázatot, illetve segíthetik az észlelést, de nem helyettesítik a javított szoftver telepítését.
A vizsgálatnak minden klasztertagra ki kell terjednie
Az észlelési útmutató az eszköz mail_logs naplóiban található gyanús SQL-utasítások ellenőrzését javasolja. A Truesec példaként a COPY.*TO PROGRAM mintát emeli ki, és hangsúlyozza, hogy klaszteres működés esetén minden eszköz naplóit át kell vizsgálni.
Egy ilyen találat rosszindulatú tevékenységre utalhat, ezért további vizsgálatot igényel. A mintakeresés ugyanakkor nem tekinthető minden lehetséges támadást lefedő ellenőrzésnek. Truesec: naplóvizsgálati útmutató
A helyi naplókban végzett, találat nélküli keresés nem zárja ki egyértelműen a kompromittálódást. Rootjogosultság birtokában a támadó elrejtheti vagy törölheti a nyomokat. Emiatt a vizsgálatnak az eszköztől független hálózati és tűzfalnaplókra is ki kell terjednie, különös tekintettel a gyanús adatátvitelekre.
A klaszter működése további kockázatot jelenthet. A tagok közötti hitelesítéshez használt privát SSH-kulcsok hozzáférhetővé válhatnak egy kompromittált eszközön, és ez további klasztertagok támadását is lehetővé teheti.
A Cisco szeptember 17-i pontosítása ezért arra hívja fel a figyelmet, hogy ha egy klaszterben legalább egy kompromittált eszköz található, a biztonságos állapot helyreállításának minden tagra ki kell terjednie. A Cisco klaszteres környezetekre vonatkozó helyreállítási útmutatója
A vizsgálat határa így nem feltétlenül az első riasztást kiváltó eszköz: az egész klasztert érintettként kell értékelni a gyártói útmutatás alapján.
Kompromittálódás gyanújánál külön helyreállítás szükséges
Fizikai eszköz feltételezett kompromittálódása esetén a Cisco a Technical Assistance Center, azaz a TAC bevonását javasolja.
Virtuális eszközöknél a gyártó a következő helyreállítási lépéseket írja le:
- A forenzikus információk megőrzése a szervezet incidenskezelési szabályai szerint, még az újjáépítés előtt.
- Új virtuális példány telepítése valamelyik javított szoftverkiadással.
- Az eszköz konfigurációjának újjáépítése.
- A hitelesítő adatok és a telepített kriptográfiai anyagok megújítása.
- A rendszer további megfigyelése rendellenes működés vagy tevékenység észlelésére.
A bizonyítékmegőrzés sorrendje lényeges: az új példány telepítése a korábbi konfigurációk és naplók elvesztésével járhat.
A Cisco közölte, hogy a Secure Email Cloud eszközeit már frissítette a 16.5.0-780-as kiadásra, és közvetlenül megkereste azokat az ügyfeleket, akiknél lehetséges kompromittálódásra utaló jeleket azonosított. Az értesített ügyfeleknek a hitelesítő adatok és a kriptográfiai anyagok megújítását is javasolta. Cisco: fizikai, virtuális és felhős eszközök helyreállítása
Ezek az intézkedések megmutatják a különbséget a sérülékenység javítása és az incidens utáni helyreállítás között. A frissítés lezárja az ismert behatolási útvonalat; a helyreállítás célja annak biztosítása, hogy a rendszer és a rajta kezelt titkos adatok ismét megbízhatók legyenek.
Az érintett szervezetek vezetőinek konkrét kérdésekre kell választ kapniuk: mely átjárók voltak sérülékenyek, mikor frissítették őket, milyen korábbi bizonyítékok állnak még rendelkezésre, és indokolnak-e a vizsgálati eredmények szélesebb körű helyreállítást.
Az incidens kezelésének lezárását ezekre a válaszokra kell alapozni. Önmagában egy sikeresen befejezett frissítési feladat nem igazolja, hogy egy korábbi behatolás minden következményét megszüntették.
Eredeti cím: Cisco Patches Exploited Email Gateway Zero-Day That Allows Root-Level Access
