A CISA incluiu a CVE-2026-76519 no catálogo Known Exploited Vulnerabilities, e a Cisco classificou a falha como crítica. O problema afeta o Cisco Secure Email Gateway e pode permitir que um atacante remoto não autenticado escreva arquivos arbitrários no sistema operacional subjacente. Em uma exploração bem-sucedida, o invasor pode executar comandos com privilégios de root.
A vulnerabilidade é especialmente sensível porque o produto fica diretamente no fluxo de mensagens da organização. Um e-mail com anexo especialmente criado pode alcançar o componente vulnerável antes que o usuário final interaja com a mensagem. A exploração depende de condições específicas do recurso Advanced Malware Protection, mas o impacto potencial exige tratamento prioritário.
O que a Cisco confirmou
Segundo o aviso oficial da Cisco, a vulnerabilidade está no recurso Advanced Malware Protection do Cisco Secure Email Gateway. A causa é o tratamento inadequado de anexos quando o serviço File Reputation está habilitado.
Um atacante não autenticado pode explorar a falha enviando, através do dispositivo afetado, uma mensagem com um anexo especialmente construído. O resultado pode ser a escrita de arquivos arbitrários no sistema operacional e a execução de comandos com privilégios de root.
A Cisco atribuiu à falha o identificador CVE-2026-76519, CWE-23 e pontuação CVSS 9,8. A empresa informa que não há workaround capaz de corrigir o problema. A correção exige atualização do software ou do pacote Content Scanner Tools.
Quem está vulnerável
O Cisco Secure Email Gateway, físico ou virtual, está vulnerável quando as duas condições seguintes são verdadeiras:
- o serviço File Reputation, parte do Advanced Malware Protection, está habilitado e associado a uma política de e-mail;
- a versão do Content Scanner Tools é anterior à 25.3.0.5525.
Para conferir o File Reputation na interface de administração, acesse as políticas de entrada ou saída em Mail Policies > Advanced Malware Protection e verifique se a opção Enable File Reputation está marcada.
Para conferir a versão do componente, use o comando contentscannerstatus na CLI. Uma versão como 25.2.0.5427.15.5.001, por exemplo, é anterior ao mínimo corrigido e deve ser atualizada.
A Cisco informou que o Secure Email and Web Manager e o Secure Web Appliance não são afetados por esta vulnerabilidade. O serviço Cisco Secure Email Cloud Gateway recebeu proteção no ambiente gerenciado, mas os administradores devem confirmar a situação com o provedor quando houver dúvidas sobre componentes sob sua responsabilidade.
Versões corrigidas
A Cisco indica as seguintes primeiras versões corrigidas do AsyncOS:
- AsyncOS 15.5.5-014 para a linha 15.5;
- AsyncOS 16.5.0-780 para a linha 16.5;
- instalações na linha 16.0 devem migrar para uma versão corrigida;
- Content Scanner Tools 25.3.0.5525 ou posterior contém a correção.
A Cisco recomenda que clientes em versões anteriores à 16.5 migrem para o AsyncOS 16.5.0-780. A atualização do Content Scanner Tools não exige reinicialização do produto nem atualização completa do software. Clientes com atualizações automáticas habilitadas podem não precisar de ação depois que o pacote corrigido for aplicado; aqueles que desabilitaram o recurso devem executar a atualização manual.
Como atualizar
Na CLI, o administrador pode verificar a versão com contentscannerstatus. Para procurar e aplicar uma atualização manual do componente, utilize contentscannerupdate.
Também é possível habilitar atualizações automáticas na interface em Security Services > Service Updates. Depois de editar as configurações, é necessário confirmar e aplicar as alterações em Commit Changes.
A atualização do Content Scanner Tools deve ser tratada como uma medida imediata, mas não substitui a adoção do AsyncOS corrigido. A Cisco recomenda atualizar o software para a release fixa apropriada, pois ela reduz a exposição futura e incorpora outras melhorias de segurança.
Indicadores de comprometimento
A Cisco orienta consultar os system_logs com o comando grep "System Security" system_logs. O resultado pode indicar compromisso suspeito, falha na conclusão da varredura ou ausência de indicador conhecido.
A mensagem Suspected compromise indicator was found indica comprometimento detectado e exige contato com o Cisco Technical Assistance Center e execução do procedimento de recuperação. A mensagem Security scan did not complete também exige suporte do TAC. Já a mensagem No compromise indicator was found significa apenas que nenhum indicador conhecido foi encontrado; o equipamento ainda deve ser atualizado.
Como uma exploração bem-sucedida pode dar acesso de root, um invasor pode apagar ou esconder evidências no próprio appliance. Por isso, não dependa somente dos logs locais. Correlacione firewall, proxy, roteadores, SIEM, DNS e registros de fluxo de rede. Procure uploads inesperados iniciados pelo gateway, downloads de endereços suspeitos, alterações de configuração e conexões de saída que não correspondam ao comportamento normal do serviço.
O que fazer em caso de suspeita
Preserve os registros antes de executar ações destrutivas. Registre a versão do AsyncOS e do Content Scanner Tools, exporte logs e documente as políticas que tinham File Reputation habilitado. Evite confiar exclusivamente no estado atual do aparelho, pois a execução com privilégios de root pode ter alterado ou removido artefatos.
Acione o suporte da Cisco e siga o procedimento de recuperação indicado para a plataforma. Revise as credenciais usadas pelo gateway, certificados, chaves de integração e contas administrativas. Avalie as mensagens processadas durante o período de exposição e procure indícios de exfiltração ou de uso do aparelho como ponto de entrada para outros sistemas.
Conclusão
A CVE-2026-76519 deve ser tratada como prioridade em ambientes que usam o Cisco Secure Email Gateway com File Reputation habilitado e Content Scanner Tools desatualizado. A possibilidade de um atacante não autenticado escrever arquivos e executar comandos como root transforma uma mensagem de e-mail especialmente criada em um vetor de comprometimento do gateway.
Administradores devem verificar imediatamente a versão do componente, atualizar para Content Scanner Tools 25.3.0.5525 ou posterior e adotar o AsyncOS corrigido. A presença no catálogo KEV da CISA também significa que a atualização deve ser acompanhada por triagem forense, investigação de logs e correlação com fontes externas.
Fontes primárias
Cisco: Cisco Secure Email Gateway Arbitrary File Write Vulnerability.
CISA: Known Exploited Vulnerabilities Catalog.
CVE.org: CVE-2026-76519.