Cisco Secure Email Gateway : zero-day CVE-2026-76519 patchée

Cisco a publié des correctifs pour une vulnérabilité de Secure Email Gateway (SEG) que des attaquants exploitent déjà. La faille permet à des attaquants distants d'exécuter des commandes avec les privilèges root, sans la moindre authentification.

Le bug est référencé sous l'identifiant CVE-2026-76519. Il s'agit de la dernière en date d'une série de failles exploitées touchant les appliances de sécurité e-mail de l'entreprise.

Une pièce jointe malveillante suffit

La vulnérabilité est une faiblesse de type traversée de chemin relatif dans la fonction Advanced Malware Protection (AMP) de SEG. Elle découle de la manière dont l'appliance traite les pièces jointes. Pour l'exploiter, un attaquant n'a qu'à envoyer un e-mail contenant une pièce jointe spécialement conçue à travers un équipement non corrigé. Il n'a pas besoin de s'authentifier ni d'interagir d'une autre façon avec l'appliance.

"Une exploitation réussie pourrait permettre à l'attaquant d'écrire des fichiers arbitraires et d'exécuter des commandes avec les privilèges root sur le système d'exploitation sous-jacent", a indiqué Cisco dans son bulletin de sécurité, publié mercredi.

L'entreprise a également confirmé que la faille a été utilisée dans des attaques réelles. "En octobre 2026, le Cisco PSIRT a eu connaissance d'une exploitation active de cette vulnérabilité", précise le bulletin. Le PSIRT est la Product Security Incident Response Team de Cisco, l'équipe chargée des signalements de vulnérabilités et des bulletins de sécurité.

Cisco n'a donné aucun détail sur les attaques, ni sur leurs auteurs, ni sur les organisations visées. Le groupe a en revanche publié une série d'indicateurs de compromission (IOC) que les défenseurs peuvent utiliser pour rechercher des traces d'intrusion.

Quels équipements sont concernés

Toutes les appliances SEG ne sont pas exposées. Un équipement n'est vulnérable que si deux conditions sont réunies :

• le service File Reputation est activé et associé à une politique de messagerie
• la version de Content Scanner Tools est antérieure à 25.3.0.5525

Les administrateurs peuvent vérifier la version de Content Scanner Tools installée avec la commande CLI contentscannerstatus. Pour savoir si File Reputation est activé, il faut regarder la case "Enable File Reputation" dans l'interface d'administration web. Elle se trouve sous Mail Policies > Incoming Mail Policies > Advanced Malware Protection, ou sous Mail Policies > Outgoing Mail Policies > Advanced Malware Protection.

Les attaquants peuvent effacer leurs traces

Cisco prévient que l'absence de preuves évidentes sur une appliance ne garantit pas qu'elle soit saine. Une fois qu'ils ont obtenu l'exécution de commandes avec les privilèges root, les attaquants peuvent supprimer les traces de l'exploitation.

C'est pourquoi l'entreprise conseille à ses clients d'examiner aussi les journaux du pare-feu et du réseau. Les administrateurs doivent rechercher toute activité suspecte, notamment des téléchargements et des envois depuis ou vers des adresses IP externes ou suspectes.

Cisco affirme avoir déjà déployé des mesures d'atténuation sur les instances cloud. Le groupe a aussi contacté les propriétaires d'équipements Cisco Secure Email Cloud sur lesquels il a relevé des indices d'une possible compromission.

"Cisco recommande vivement aux clients qui ont été contactés de remettre leur équipement dans une configuration sûre en renouvelant, dans la mesure du possible, les identifiants et tout le matériel cryptographique installé sur l'appliance. Cisco recommande en outre vivement de restreindre l'accès à l'appliance et de mettre en place des mécanismes de contrôle d'accès robustes", a déclaré l'entreprise.

Selon Shadowserver, un organisme de surveillance de la sécurité d'Internet qui recense les systèmes exposés, près de 300 instances de Cisco Secure Email Gateway sont accessibles en ligne. L'organisation ne précise pas combien d'entre elles sont des honeypots ou ont déjà été sécurisées.

Pas la première zero-day de SEG

Ce n'est de loin pas le premier problème sérieux des produits de sécurité e-mail de Cisco.

En juillet 2024, Cisco a corrigé une faille critique de SEG, CVE-2024-20401. Des attaquants pouvaient l'utiliser pour ajouter de nouveaux utilisateurs avec les privilèges root ou pour faire planter durablement les appliances, là aussi en envoyant des e-mails avec des pièces jointes malveillantes.

En janvier, l'entreprise a corrigé CVE-2025-20393, une faille de Cisco AsyncOS de gravité maximale. Des attaquants l'exploitaient depuis novembre 2025 dans des attaques zero-day contre des appliances SEG et Secure Email and Web Manager (SEWM).

Le mois dernier, Cisco a exhorté ses clients à corriger une autre zero-day exploitée de SEG, CVE-2026-76461. Ce bug se situe dans l'analyse des e-mails de Cisco AsyncOS Software. Comme la nouvelle faille, il permet à des attaquants distants non authentifiés d'exécuter des commandes arbitraires avec les privilèges root sur le système d'exploitation sous-jacent.

Le bilan plus général est lui aussi chargé. Depuis novembre 2021, l'agence américaine Cybersecurity and Infrastructure Security Agency (CISA) a ajouté 100 vulnérabilités Cisco à son catalogue de failles activement exploitées. Sept d'entre elles ont été utilisées dans des attaques par ransomware.

Les dernières semaines ont été chargées pour Cisco. Plus tôt ce mois-ci, l'entreprise a également corrigé des failles dans NX-OS qui pouvaient permettre à des attaquants de prendre le contrôle de switchs Nexus.

Notre analyse

Le détail le plus inquiétant, c'est le peu d'efforts que l'attaque exige. Les passerelles e-mail existent pour recevoir des messages de n'importe qui sur Internet, on ne peut donc pas simplement fermer la surface d'attaque. Une seule pièce jointe piégée suffit à l'attaquant, et le bug se trouve dans une fonction de protection contre les malwares censée rendre l'équipement plus sûr. Cela laisse penser que les organisations qui ont activé File Reputation pour renforcer leurs défenses ont peut-être élargi leur exposition sans le savoir.

La tendance compte aussi. C'est la deuxième zero-day exploitée de SEG en un mois environ, et la troisième faille sérieuse cette année si l'on inclut le correctif AsyncOS de janvier. Les attaquants considèrent clairement ces appliances comme des cibles intéressantes. Cela s'inscrit dans une tendance plus large : les acteurs malveillants se concentrent sur les équipements de bordure et de périmètre. Parmi les exemples récents figurent la chaîne de zero-days d'Ivanti Connect Secure et la faille exploitée de SonicWall SMA1000. Ces systèmes bénéficient souvent d'une confiance élevée, sont mal surveillés et difficiles à inspecter de l'intérieur.

L'avertissement de Cisco sur l'effacement possible des preuves doit être pris au sérieux. Appliquer la mise à jour n'annule pas une compromission déjà survenue. Les équipes qui exploitent des appliances concernées doivent considérer l'analyse des journaux et le renouvellement des identifiants comme faisant partie du travail de correction, et non comme des options.

Reste à voir si la CISA ajoutera CVE-2026-76519 à son catalogue de vulnérabilités exploitées. Des chercheurs ou Cisco pourraient aussi en dire davantage sur les auteurs des attaques. Sachant que sept failles Cisco antérieures ont fini dans des campagnes de ransomware, les défenseurs ne devraient pas partir du principe que celle-ci restera cantonnée à des intrusions ciblées.