Cisco Secure Email Gateway : un simple e-mail piégé donne les droits root, la faille est déjà exploitée

Cisco a corrigé CVE-2026-76519, une faille critique de sa passerelle de messagerie Secure Email Gateway : un e-mail muni d’une pièce jointe piégée suffit pour écrire des fichiers et exécuter des commandes en root sur l’équipement. Cisco confirme une exploitation active ; la CISA donne jusqu’au 17 octobre aux agences fédérales.

Ce qui s’est passé

Le 14 octobre 2026, Cisco a publié un bulletin consacré à CVE-2026-76519 (CVSS 9,8), une faille de la fonction Advanced Malware Protection (AMP) de Cisco Secure Email Gateway, son boîtier de filtrage des e-mails installé chez le client. L’éditeur indique que son équipe de sécurité a eu connaissance d’une exploitation active en octobre. Le même jour, la CISA a inscrit la vulnérabilité à son catalogue des failles exploitées et fixé aux agences fédérales américaines une échéance au 17 octobre.

Le défaut se situe dans le traitement des pièces jointes lorsque le service de réputation des fichiers est activé. Aucune authentification n’est requise : il suffit d’envoyer, à travers la passerelle, un message accompagné d’une pièce jointe forgée pour écrire n’importe quel fichier sur le système et exécuter des commandes avec les droits root. Cisco précise qu’il n’existe aucun contournement.

Qui est concerné

Les passerelles physiques et virtuelles sont vulnérables si deux conditions sont réunies : File Reputation est activé dans une politique de messagerie (Mail Policies > Advanced Malware Protection) et le paquet Content Scanner Tools est antérieur à 25.3.0.5525. Secure Email and Web Manager et Secure Web Appliance ne sont pas touchés. Pour la version cloud (Secure Email Cloud Gateway), Cisco affirme avoir déjà déployé le correctif.

Que faire maintenant

1. Vérifiez la version avec la commande contentscannerstatus en ligne de commande. En dessous de 25.3.0.5525, vous êtes exposé.
2. Mettez à jour le paquet avec contentscannerupdate : ni redémarrage ni mise à niveau d’AsyncOS ne sont nécessaires, et les boîtiers en mise à jour automatique le reçoivent d’eux-mêmes.
3. Programmez la montée de version d’AsyncOS : 15.5.5-014 ou 16.5.0-780. Cisco conseille de passer en 16.5.0-780 tout ce qui est antérieur à la 16.5.
4. Cherchez des traces : repérez les messages System Security dans system_logs et examinez les journaux du pare-feu et du réseau à la recherche d’envois inattendus depuis la passerelle, car un attaquant root peut effacer ses traces sur l’équipement.
5. En cas de doute sur une compromission, contactez le support Cisco (TAC) pour un boîtier physique ; pour une machine virtuelle, reconstruisez-la avec une version corrigée sans réimporter l’ancien fichier de configuration, puis renouvelez identifiants et clés. Dans une grappe, restaurez chaque membre : les clés SSH partagées ont pu être volées.

Notre avis

Une passerelle de messagerie lit tous les courriels adressés à l’entreprise : n’importe qui disposant d’une adresse peut donc l’atteindre. Un équipement de sécurité qui ouvre les pièces jointes doit être corrigé aussi vite qu’un VPN, et ses flux sortants surveillés depuis l’extérieur du boîtier.

Sources

• Cisco — Cisco Secure Email Gateway Arbitrary File Write Vulnerability (cisco-sa-esa-afw-zqYJkjxp)
• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-76519
• The Hacker News — Cisco Warns of Active Attacks Exploiting New Critical Secure Email Gateway Vulnerability

Comment nous choisissons, vérifions et rédigeons nos analyses →