Zero-day Cisco Secure Email Gateway CVE-2026-76461 — когда внедрение SQL при разборе почты заканчивается выполнением от root
CVE-2026-76461 (CVSS 9.8) активно эксплуатируется и добавлен в каталог KEV CISA. Мы разбираем повторяющийся шаблон «компрометации root граничного устройства» и то, что это значит, когда собственным журналам устройства больше нельзя доверять.
Эта статья была переведена машиной.
14 сентября 2026 года Cisco раскрыла критическую уязвимость zero-day в программном обеспечении AsyncOS для своего Secure Email Gateway (SEG), учитываемую как CVE-2026-76461 с оценкой CVSS 9.8, сообщив, что её PSIRT стало известно об активной эксплуатации в сентябре 2026 года. Изъян происходит из недостаточной проверки в логике разбора почты: атакующий может отправить специально составленное письмо, содержащее вредоносные операторы SQL, добиться выполнения SQL без аутентификации удалённо и в итоге выполнить произвольные команды с привилегиями root в нижележащей операционной системе. Затронуты и физические, и виртуальные устройства SEG, независимо от конфигурации, тогда как Secure Email and Web Manager и Secure Web Appliance, по сообщениям, не затронуты. Исправление выходит в рекомендации Cisco (cisco-sa-esa-inj-2bLVGmhX).
CISA добавила уязвимость в свой каталог Known Exploited Vulnerabilities (KEV) 14 сентября, дав федеральным ведомствам срок до 17 сентября, чтобы установить исправление. В тот же день Cisco также исправила четыре других критических изъяна в SEG и SEWM (CVE-2026-76440, CVE-2026-76441, CVE-2026-20353, CVE-2026-76443), относительно которых, по её словам, нет свидетельств эксплуатации in the wild. Cisco предупреждает, что при доступе уровня root «доказательства эксплуатации и индикаторы компрометации могут быть удалены или скрыты», и рекомендует искать подозрительные операторы SQL в mail_logs, сверяя их с сетевыми журналами и журналами межсетевого экрана вне устройства на предмет неожиданных upload и download. Shadowserver в настоящее время отслеживает свыше 400 устройств SEG, открытых в интернет (хотя не может отличить honeypots или уже защищённые узлы).
Анализ (отделён от фактов): это в меньшей степени одиночный zero-day, чем одна точка данных в волне атак на открытые граничные устройства. Только в период 9-11 сентября каталог KEV пополнился обходом аутентификации Citrix NetScaler (CVE-2026-19490), раскрытием памяти ядра MikroTik RouterOS (CVE-2026-86060 / CVE-2026-67277), изъянами управления привилегиями ConnectWise ScreenConnect (CVE-2026-84869), проблемами авторизации JFrog Artifactory (CVE-2026-42016 / CVE-2026-42018) и обходом пути GitLab (CVE-2026-85706). Нацеливание на неявно доверенную инфраструктуру — почту, VPN, удалённое обслуживание — продолжается; в конце августа Arctic Wolf также наблюдала крупномасштабные атаки на учётные данные против устройств VPN Fortinet. Окончательных утверждений мы сделать не можем, однако компрометация граничного устройства означает, что вся цепочка доверия за ним (потоки аутентификации, почтовый трафик) захватывается разом, и от этого радиус поражения отличается от компрометации одного сервера.
Защитный вывод состоит в том, что собственные журналы устройства не следует принимать за первичный источник истины, как только компрометация root становится правдоподобной. Как рекомендует сама Cisco, обнаружение следует подтверждать журналами вне устройства и сторонним наблюдением, таким как Shadowserver. Это не чуждая забота и для японских организаций: 14 сентября Digital Agency Японии объявило, что уязвимость продукта VPN раскрыла примерно 246,000 записей о персонале. Управление уязвимостями граничных устройств является живым вопросом и внутри страны.
Практический перечень на ближайшие дни: (1) если вы запускаете SEG/SEWM, проверьте и примените исправленные выпуски из рекомендации Cisco (срок KEV — 17 сентября); (2) после исправления просмотрите внешние сетевые журналы и журналы межсетевого экрана на подозрительные upload и download; (3) инвентаризируйте, какие граничные устройства обращены в интернет, и пересмотрите, должны ли они быть такими; (4) используйте это как повод пересмотреть схемы обнаружения, которые исходят из того, что журналам устройства можно доверять. Факты этой статьи взяты из рекомендации Cisco, каталога KEV CISA, The Hacker News и BleepingComputer; разделы анализа отделены от фактического изложения.