Már kihasználják a Cisco levelezési átjárójának kritikus hibáját

A sebezhetőség az Advanced Malware Protection (AMP) funkcióhoz tartozik: bekapcsolt fájlreputációs szolgáltatás mellett a rendszer hibásan kezelhet e-mail-mellékleteket. A kihasználáshoz a támadó egy erre kialakított csatolmányt tartalmazó levelet küld az érintett eszközön keresztül.

A Cisco kritikusnak minősítette a problémát, amelynek CVSS-pontszáma 9,8. Ez a műszaki súlyosságot jelzi; a tényleges támadásokat külön a CISA ismert, kihasznált sebezhetőségeket felsoroló KEV-katalógusa igazolja. A hivatal 2026. október 14-én vette fel a hibát a listára.

A sérülékenység a Cisco Secure Email Gateway fizikai és virtuális változatát is érinti, ha sérülékeny AsyncOS-kiadást futtatnak, és további két feltétel egyszerre teljesül. A File Reputation szolgáltatásnak bekapcsolva, valamely levelezési házirendhez rendelve kell működnie, a Content Scanner Tools verziójának pedig 25.3.0.5525 előttinek kell lennie.

A Cisco Secure Email and Web Manager és a Secure Web Appliance nem érintett. A Cisco Secure Email Cloud Gateway esetében a gyártó már telepítette a javított csomagot, ezért a frissítéshez nincs ügyféloldali teendő.

A Content Scanner Tools 25.3.0.5525 és újabb változatai tartalmazzák a javítást. A csomag minden licencelt és támogatott AsyncOS-kiadáshoz eljut; telepítése nem igényli sem az operációs rendszer verzióváltását, sem az eszköz újraindítását. Ha az automatikus letöltés engedélyezett, és a javítás már települt, nincs további teendő ezzel a csomaggal.

Az AsyncOS javított kiadásait a Cisco külön is felsorolja:

A gyártó a 16.5 előtti változatok használóinak kifejezetten a 16.5.0-780 kiadásra váltást ajánlja.

A Cisco figyelmeztetése szerint a root jogosultságot szerző támadó elrejtheti vagy törölheti a behatolás bizonyítékait. Ezért az eszközön kívüli hálózati és tűzfalnaplók összevetését is határozottan javasolja, különösen a váratlan külső feltöltések és rosszindulatú címekről induló letöltések keresését.

Virtuális példány feltételezett kompromittálódásakor a bizonyítékmentésnek meg kell előznie a helyreállítást: a verzióváltás megsemmisíti a helyi vizsgálati adatokat és naplókat. Fürt esetén a megszerzett privát SSH-kulcsok más tagok megtámadását is lehetővé tehetik.

Az Eclypsium októberi InfraTrust Pulse jelentése szerint a szeptember 18. és október 14. közötti időszakban 16 újonnan közzétett biztonsági közlemény érintett a CISA KEV-katalógusában szereplő, aktívan kihasznált hibákat. A felsorolt esetek között a Cisco levelezési átjárója is szerepel.

A jelentés külön figyelmeztet a PHP2Shell néven említett PHP-hibákra. Számos tűzfal, VPN-átjáró és hálózati tároló kezelőfelülete használja ezt az összetevőt. Mivel a gyártók a készülék rendszerszoftverébe építik, az ügyfelek jellemzően nem tudják külön telepíteni a PHP javítását. Az InfraTrust azt javasolja, hogy a gyártói csomagokra várva ezek a kezelőfelületek ne legyenek elérhetők az internetről.