A Cisco confirmou que uma falha crítica no Secure Email Gateway está a ser explorada em ataques reais. A vulnerabilidade, identificada como CVE-2026-76461, permite que um atacante remoto e sem autenticação execute comandos com privilégios máximos no sistema operativo do equipamento.
O problema recebeu uma classificação de 9,8 em 10 e afeta as versões físicas e virtuais do Cisco Secure Email Gateway, independentemente da configuração usada. Não existe uma solução temporária que elimine o risco. A correção exige a atualização do software AsyncOS para uma versão protegida.
Um email preparado pode comprometer o equipamento
A falha está no processamento das mensagens recebidas. Segundo o aviso da Cisco, um atacante pode enviar um email que contenha instruções SQL maliciosas. Se a exploração for bem-sucedida, essas instruções podem levar à execução de comandos como utilizador root, o nível mais elevado de controlo no sistema.
Isto distingue o caso de uma simples prova de conceito. A Cisco tomou conhecimento de exploração ativa em setembro e detetou sinais de possível comprometimento em alguns dispositivos do serviço Secure Email Cloud. A empresa contactou diretamente os clientes afetados, mas não divulgou o número de incidentes nem identificou os responsáveis.
O Secure Email and Web Manager e o Secure Web Appliance não são afetados por esta vulnerabilidade. A distinção é importante, porque os nomes dos produtos são semelhantes e o alerta não se aplica automaticamente a toda a gama de segurança de email e web da Cisco.
Que versões corrigem a vulnerabilidade
As versões 15.5 e anteriores devem ser atualizadas para a 15.5.5-014. Quem utiliza a linha 16.0 precisa da versão 16.0.4-302. Na linha 16.5, a primeira versão corrigida é a 16.5.0-780, que a Cisco recomenda como destino preferencial sempre que a migração for suportada.
Os equipamentos Secure Email Cloud geridos pela própria Cisco já foram atualizados para a versão 16.5.0-780. Nas instalações administradas pelo cliente, a equipa responsável deve confirmar a versão atual, preparar a janela de manutenção e seguir o processo de atualização indicado para o equipamento. A instalação provoca um reinício.
A CISA adicionou a CVE-2026-76461 ao catálogo de vulnerabilidades exploradas. O prazo de 17 de setembro aplica-se às entidades federais norte-americanas abrangidas pelas regras da agência, mas reforça a urgência para qualquer organização que tenha um gateway vulnerável exposto ao processamento de email.
Atualizar não substitui a investigação
Como o atacante pode obter controlo root, os registos guardados no próprio equipamento podem ser apagados ou alterados. A Cisco recomenda procurar instruções SQL suspeitas nos registos de email e rever cada equipamento quando existe um cluster. Também aconselha a cruzar esses dados com registos externos da firewall e da rede.
A equipa deve procurar transferências inesperadas, ligações a endereços desconhecidos e alterações sem justificação. Guardar os registos fora do equipamento afetado ajuda a preservar informação mesmo que o invasor tente esconder a atividade.
A atualização bloqueia a vulnerabilidade conhecida, mas não remove automaticamente uma presença criada antes da correção. Se houver indicadores de comprometimento, a resposta deve incluir isolamento, preservação de evidências, revisão de credenciais e análise do tráfego. Reinstalar ou recuperar o equipamento pode ser necessário conforme as orientações da Cisco e a investigação interna.
Para utilizadores domésticos, não existe uma atualização a instalar no computador ou no telemóvel. O aviso destina-se às organizações que operam o Cisco Secure Email Gateway. Ainda assim, o impacto pode chegar aos utilizadores de forma indireta, porque estes sistemas filtram mensagens antes de entrarem nas caixas de correio de empresas e instituições.
Fontes: Cisco · BleepingComputer · The Hacker News
