Alerta de Vulnerabilidade - Cisco Secure Email Gateway

Vulnerabilidade de injeção de SQL (CWE-89) no Cisco AsyncOS para Cisco Secure Email Gateway, com o identificador CVE-2026-76461/EUVD-2026-77625 [1][2][3]. O Secure Email Gateway (anteriormente IronPort Email Security Appliance) é o appliance de segurança que inspeciona o correio eletrónico de entrada e saída. A vulnerabilidade resulta de validação insuficiente na lógica de análise das mensagens: uma mensagem manipulada que contenha instruções SQL é processada pelo appliance, permitindo a execução de instruções SQL arbitrárias e, a partir daí, a execução de comandos como utilizador root no sistema operativo subjacente. O caminho vulnerável é alcançado pela funcionalidade de processamento de correio, e não apenas pela interface de administração, pelo que não requer credenciais nem interação [1]. A Cisco confirma exploração ativa desta vulnerabilidade desde setembro de 2026 [1].

São afetados os appliances Cisco Secure Email Gateway, físicos e virtuais, independentemente da configuração, nas ramificações 15.5 e anteriores, 16.0 e 16.5 do AsyncOS. O Secure Email and Web Manager e o Secure Web Appliance não são afetados [1].

Um atacante remoto não autenticado, sem interação do utilizador, compromete o appliance apenas por este processar uma mensagem de correio eletrónico manipulada, obtendo execução de comandos como utilizador root no sistema operativo [1].

Não existe workaround; a atualização do AsyncOS para uma versão corrigida é a única resolução [1]:

• AsyncOS 15.5 e anteriores: 15.5.5-014
• AsyncOS 16.0: 16.0.4-302
• AsyncOS 16.5: 16.5.0-780 (a Cisco recomenda a migração para 16.5.0-780)

Medidas adicionais de mitigação e deteção:

• Procurar indícios de exploração nos mail_logs de cada appliance, incluindo cada nó de um cluster, por exemplo instruções SQL suspeitas do tipo COPY ... TO PROGRAM; estão também disponíveis as regras Snort 67109 e 67110 [1].
• Como o acesso root permite ocultar ou remover vestígios no próprio appliance, cruzar com os logs de rede e de firewall externos, procurando uploads inesperados do appliance para IPs externos ou downloads de IPs maliciosos [1].
• Em caso de suspeita de compromisso: nos appliances físicos, contactar o Cisco TAC; nos virtuais, preservar a informação forense, implantar uma nova instância numa versão corrigida, reconstruir a configuração e renovar as credenciais e o material criptográfico [1].
• Num cluster, as chaves SSH privadas usadas na comunicação entre membros podem ter sido acedidas; restaurar todos os membros de um cluster que contenha pelo menos um appliance comprometido [1].
• Impedir o acesso ao appliance a partir da Internet e restringir o acesso de gestão a hosts de confiança, enviando os logs para um servidor externo [1].

[1] - https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-inj-2bLVGmhX
[2] - https://nvd.nist.gov/vuln/detail/CVE-2026-76461
[3] - https://euvd.enisa.europa.eu/vulnerability/EUVD-2026-77625