--- title: "Cisco załatało aktywnie wykorzystywaną lukę zero-day w Secure Email Gateway" description: "Cisco naprawiło lukę CVE-2026-76519 w Secure Email Gateway, która pozwala nieuwierzytelnionym atakującym wykonywać polecenia z uprawnieniami root. Podatne urządzenia należy sprawdzić, zaktualizować i przeanalizować pod kątem śladów włamania." publisher: "Najnowsze Informacje" language: "pl-PL" canonical_url: "https://najnowsze-informacje.pl/technologie/cisco-zalatalo-aktywnie-wykorzystywana-luke-zero-day-w-secure-email-gateway" markdown_url: "https://najnowsze-informacje.pl/technologie/cisco-zalatalo-aktywnie-wykorzystywana-luke-zero-day-w-secure-email-gateway/index.md" date_published: "2026-10-17T21:46:24.065Z" date_modified: "2026-10-17T21:46:29.156Z" author: "Redakcja" category: "Technologie" tags: - "cisco" - "cyberbezpieczeństwo" - "zero-day" - "secure email gateway" - "podatnosci" source_url: "https://www.bleepingcomputer.com/news/security/cisco-patches-actively-exploited-secure-email-gateway-zero-day/" source_name: "BleepingComputer" image_url: "https://najnowsze-informacje.pl/api/media/file/tech-unsplash-1792000882701.jpeg" image_alt: "a close up of a network with wires connected to it" image_credit: "© Albert Stoynov / Unsplash" image_credit_url: "https://unsplash.com/@albertstoynov" --- # Cisco załatało aktywnie wykorzystywaną lukę zero-day w Secure Email Gateway > Cisco wydało poprawkę dla luki CVE-2026-76519 w Secure Email Gateway. Atakujący mogą zdalnie uruchamiać polecenia z uprawnieniami root. ## Kluczowe informacje - Luka CVE-2026-76519 dotyczy funkcji Advanced Malware Protection w Cisco Secure Email Gateway. - Atak wymaga wysłania specjalnie spreparowanego załącznika przez niezałatane urządzenie. - Podatność pozwala zdalnie zapisywać pliki i wykonywać polecenia z uprawnieniami root. - Administratorzy powinni sprawdzić wersję Content Scanner Tools oraz logi sieciowe. Cisco wydało poprawkę dla kolejnej aktywnie wykorzystywanej luki zero-day w rozwiązaniu Secure Email Gateway, służącym do filtrowania i ochrony firmowej poczty elektronicznej. Podatność oznaczona jako CVE-2026-76519 pozwala zdalnemu, nieuwierzytelnionemu napastnikowi zapisywać dowolne pliki i wykonywać polecenia z uprawnieniami root w bazowym systemie operacyjnym urządzenia. ## Luka wykorzystuje obsługę załączników Problem wynika z niewłaściwej obsługi załączników w funkcji Advanced Malware Protection, a dokładniej z podatności typu relative path traversal. Atakujący może przygotować złośliwy załącznik i przesłać wiadomość przez niezałatane urządzenie. Jeżeli warunki ataku są spełnione, podatność może umożliwić zapisanie plików w wybranych lokalizacjach oraz uruchomienie poleceń z najwyższym poziomem uprawnień. Cisco poinformowało, że jego zespół PSIRT wykrył aktywne wykorzystywanie luki w październiku 2026 roku. - CVE-2026-76519 dotyczy instancji Secure Email Gateway z włączoną usługą File Reputation przypisaną do polityki pocztowej. - Podatne są urządzenia z wersją Content Scanner Tools wcześniejszą niż 25.3.0.5525. - Wektor ataku wykorzystuje wiadomość e-mail ze specjalnie spreparowanym załącznikiem. - Skutkiem może być zapis dowolnych plików i wykonanie poleceń z uprawnieniami root. - Cisco nie ujawniło szczegółów kampanii, ale opublikowało wskaźniki kompromitacji. ## Jak sprawdzić, czy urządzenie jest podatne Administratorzy powinni najpierw sprawdzić wersję Content Scanner Tools za pomocą polecenia contentscannerstatus. Następnie należy zweryfikować, czy opcja Enable File Reputation jest aktywna w konfiguracji polityki pocztowej. W interfejsie zarządzania trzeba przejść do Mail Policies, następnie Incoming Mail Policies lub Outgoing Mail Policies, a potem do Advanced Malware Protection. Sama obecność funkcji File Reputation oraz starsza wersja narzędzi oznaczają, że urządzenie wymaga pilnej aktualizacji zgodnej z zaleceniami Cisco. Producent zaleca również przeanalizowanie logów zapory sieciowej i ruchu sieciowego. Szczególną uwagę należy zwrócić na podejrzane pobieranie i wysyłanie danych do zewnętrznych lub nietypowych adresów IP. Cisco ostrzega, że napastnik po uzyskaniu uprawnień root może próbować usunąć ślady działania, dlatego brak oczywistych oznak w samym urządzeniu nie powinien być traktowany jako dowód braku ataku. W przypadku klientów, u których wykryto możliwe oznaki kompromitacji w chmurowych instancjach Secure Email, firma wdrożyła środki zaradcze i skontaktowała się z właścicielami urządzeń. ## Cisco zaleca odtworzenie bezpiecznej konfiguracji Jeżeli Cisco skontaktowało się z administratorem w związku z możliwym przejęciem urządzenia, producent zaleca przywrócenie go do bezpiecznej konfiguracji. W miarę możliwości powinno to obejmować odnowienie danych uwierzytelniających oraz materiałów kryptograficznych zainstalowanych na urządzeniu. Firma rekomenduje także ograniczenie dostępu do interfejsu i wdrożenie silnych mechanizmów kontroli dostępu. Działania te są istotne zwłaszcza wtedy, gdy nie można wykluczyć wykonywania poleceń z uprawnieniami root. Skala potencjalnej ekspozycji jest trudna do dokładnego określenia. Organizacja Shadowserver śledzi blisko 300 instancji Cisco Secure Email Gateway dostępnych z internetu, ale nie podaje, ile z nich działa jako honeypoty, a ile zostało już zabezpieczonych. Publiczna dostępność urządzenia nie przesądza o jego podatności, ponieważ znaczenie mają między innymi wersja Content Scanner Tools oraz konfiguracja usługi File Reputation. To nie pierwszy przypadek, gdy Cisco publikuje ostrzeżenie dotyczące bezpieczeństwa Secure Email Gateway. W lipcu 2024 roku firma naprawiła lukę CVE-2024-20401, która mogła pozwolić na dodawanie użytkowników z uprawnieniami root albo trwałe unieruchomienie urządzenia za pomocą złośliwych załączników. W styczniu 2026 roku załatano również krytyczną lukę AsyncOS oznaczoną jako CVE-2025-20393, wykorzystywaną w atakach zero-day przeciwko urządzeniom Secure Email Gateway oraz Secure Email and Web Manager. W poprzednim miesiącu Cisco ostrzegało ponadto przed luką CVE-2026-76461 w analizowaniu poczty, która także pozwala nieuwierzytelnionym napastnikom zdalnie wykonywać polecenia z uprawnieniami root. Od listopada 2021 roku amerykańska CISA dodała do katalogu aktywnie wykorzystywanych podatności 100 luk Cisco, z czego siedem było wykorzystywanych w atakach ransomware. ## Wyjaśnienie pojęć ### [podatność typu zero day](https://najnowsze-informacje.pl/definicje/podatnosc-typu-zero-day) Luka w zabezpieczeniach, która jest wykorzystywana, zanim zostanie udostępniona poprawka lub zanim użytkownicy zdążą skutecznie zareagować. ### [przejście ścieżki](https://najnowsze-informacje.pl/definicje/przejscie-sciezki) Błąd pozwalający wyjść poza dozwolony katalog i odwołać się do innych plików systemu. W tym przypadku problem dotyczył interfejsu API GitLaba. ### [Wskaźniki kompromitacji](https://najnowsze-informacje.pl/definicje/wskazniki-kompromitacji) Wskaźniki kompromitacji to dane pomagające rozpoznać, czy system mógł zostać zaatakowany lub przejęty. Mogą wspierać działania monitorujące i analizę incydentu. ## Źródło pierwotne [BleepingComputer](https://www.bleepingcomputer.com/news/security/cisco-patches-actively-exploited-secure-email-gateway-zero-day/) --- ## Informacje do cytowania - **Autor:** Redakcja - **Data publikacji:** 2026-10-17T21:46:24.065Z - **Ostatnia aktualizacja:** 2026-10-17T21:46:29.156Z - **Kategoria:** Technologie - **Adres kanoniczny:** [https://najnowsze-informacje.pl/technologie/cisco-zalatalo-aktywnie-wykorzystywana-luke-zero-day-w-secure-email-gateway](https://najnowsze-informacje.pl/technologie/cisco-zalatalo-aktywnie-wykorzystywana-luke-zero-day-w-secure-email-gateway) - **Wersja Markdown:** [https://najnowsze-informacje.pl/technologie/cisco-zalatalo-aktywnie-wykorzystywana-luke-zero-day-w-secure-email-gateway/index.md](https://najnowsze-informacje.pl/technologie/cisco-zalatalo-aktywnie-wykorzystywana-luke-zero-day-w-secure-email-gateway/index.md) **Sugerowane cytowanie:** > Najnowsze Informacje, „Cisco załatało aktywnie wykorzystywaną lukę zero-day w Secure Email Gateway”, 2026-10-17, https://najnowsze-informacje.pl/technologie/cisco-zalatalo-aktywnie-wykorzystywana-luke-zero-day-w-secure-email-gateway