יום האפס Cisco Secure Email Gateway CVE-2026-76461 — כשהזרקת SQL בניתוח דוא״ל מסתיימת בהרצה כ-root
CVE-2026-76461 (CVSS 9.8) מנוצל בפועל ונוסף לקטלוג ה-KEV של CISA. אנו מפרקים את הדפוס החוזר של «פשרת root של מכשיר גבול» — ומה המשמעות כשאי אפשר עוד לבטוח ביומני המכשיר עצמו.
מאמר זה תורגם במכונה.
ב-14 בספטמבר 2026 חשפה Cisco חולשת יום אפס קריטית בתוכנת AsyncOS של Secure Email Gateway (SEG) שלה, במעקב CVE-2026-76461 עם ציון CVSS של 9.8, ודיווחה ש-PSIRT שלה התוודע לניצול פעיל בספטמבר 2026. החולשה נובעת מאימות לא מספיק בלוגיקת ניתוח הדוא״ל: תוקף יכול לשלוח דוא״ל מעוצב שמכיל משפטי SQL זדוניים, להשיג הרצת SQL מרחוק בלי אימות, ובסופו של דבר להריץ פקודות שרירותיות בהרשאות root על מערכת ההפעלה שמתחת. מכשירי SEG פיזיים וגם וירטואליים מושפעים ללא תלות בתצורה, בעוד ש-Secure Email and Web Manager ו-Secure Web Appliance אינם מושפעים לפי הדיווח. תיקון יוצא בייעוץ של Cisco (cisco-sa-esa-inj-2bLVGmhX).
CISA הוסיפה את החולשה לקטלוג Known Exploited Vulnerabilities (KEV) שלה ב-14 בספטמבר, ונתנה לסוכנויות פדרליות עד 17 בספטמבר לתקן. באותו יום תיקנה Cisco גם ארבע חולשות קריטיות נוספות ב-SEG וב-SEWM (CVE-2026-76440, CVE-2026-76441, CVE-2026-20353, CVE-2026-76443), ולגביהן היא אומרת שאין ראיה לניצול בפועל. Cisco מזהירה שעם גישה ברמת root, «ראיות לניצול ואינדיקטורים של פשרה עשויים להיות מוסרים או מוסתרים», וממליצה לבדוק משפטי SQL חשודים ב-mail_logs ובמקביל להצליב יומני רשת ו-firewall מחוץ למכשיר לגבי העלאות והורדות לא צפויות. Shadowserver עוקב כעת אחרי יותר מ-400 מכשירי SEG החשופים לאינטרנט (אם כי אינו יכול להבחין בין כלי דבש לבין מארחים שכבר אובטחו).
ניתוח (מופרד מהעובדות): זה פחות יום אפס בודד ויותר נקודת נתון אחת בגל של תקיפות על מכשירי גבול חשופים. ב-9-11 בספטמבר לבדם נוספו לקטלוג ה-KEV עקיפת אימות ב-Citrix NetScaler (CVE-2026-19490), חשיפת זיכרון ליבה ב-MikroTik RouterOS (CVE-2026-86060 / CVE-2026-67277), חולשות ניהול הרשאות ב-ConnectWise ScreenConnect (CVE-2026-84869), בעיות הרשאה ב-JFrog Artifactory (CVE-2026-42016 / CVE-2026-42018), ומעבר נתיב ב-GitLab (CVE-2026-85706). המיקוד בתשתית שזוכה לאמון מכללא — דוא״ל, VPN, תחזוקה מרחוק — נמשך; בסוף אוגוסט צפה גם Arctic Wolf בתקיפות אישורים בהיקף גדול נגד מכשירי VPN של Fortinet. אף שאיננו יכולים לקבוע טענות חד-משמעיות, פשרה של מכשיר גבול פירושה שכל שרשרת האמון שמאחוריו (זרימות אימות, תעבורת דואר) נתפסת בבת אחת, וזה עושה את רדיוס הפיצוץ שונה מפשרה של שרת יחיד.
ההשלכה ההגנתית היא שאין להתייחס ליומני המכשיר עצמו כמקור אמת ראשי מרגע שפשרת root סבירה. כפי ש-Cisco עצמה ממליצה, יש לאשש זיהוי מיומנים שמחוץ למכשיר ומתצפית של צד שלישי כגון Shadowserver. זה אינו עניין זר גם לארגונים יפניים: ב-14 בספטמבר הודיעה Digital Agency של יפן שחולשה במוצר VPN חשפה בערך 246,000 רשומות כוח אדם. ניהול חולשות של מכשירי גבול הוא סוגיה חיה גם ביפן.
רשימת בדיקה מעשית לימים הקרובים: (1) אם מריצים SEG/SEWM, יש לאמת ולהחיל את המהדורות המתוקנות מן הייעוץ של Cisco (מועד ה-KEV הוא 17 בספטמבר); (2) אחרי התיקון, יש לסקור יומני רשת ו-firewall חיצוניים לגבי העלאות והורדות חשודות; (3) יש לערוך מצאי של אילו מכשירי גבול פונים לאינטרנט ולשקול מחדש אם הם צריכים להיות כאלה; (4) יש להתייחס לזה כהזדמנות לסקור תכנוני זיהוי שמניחים שיומני המכשיר אמינים. העובדות במאמר זה נשאבות מן הייעוץ של Cisco, מקטלוג ה-KEV של CISA, מ-The Hacker News ומ-BleepingComputer; קטעי הניתוח נשמרים בנפרד מן הדיווח העובדתי.