Cisco Secure Email Gateway: falha crítica sob ataque ativo
A Cisco confirmou em 14 de setembro de 2026 a exploração ativa da CVE-2026-76461, uma falha de SQL injection no Cisco Secure Email Gateway (AsyncOS) com CVSS 9,8. Um atacante não autenticado consegue executar comandos com privilégios de root no equipamento apenas enviando um e-mail malicioso — sem precisar de credenciais, interação do usuário ou acesso à interface administrativa. A CISA adicionou a falha ao catálogo Known Exploited Vulnerabilities (KEV) no mesmo dia da divulgação, sinal de que já era explorada como zero-day antes do aviso oficial do fabricante.
Quem é afetado
A falha está na lógica de parsing de e-mail do AsyncOS e afeta appliances físicos e virtuais do Secure Email Gateway (antigo IronPort), independentemente da configuração do dispositivo. A versão em nuvem, Cisco Secure Email Cloud, também foi impactada — a Cisco já atualizou todos os dispositivos cloud para a versão 16.5.0-780 e contatou diretamente os clientes em que identificou atividade maliciosa.
| Versão afetada | Versão corrigida |
|---|---|
| 15.5 e anteriores | 15.5.5-014 |
| 16.0 | 16.0.4-302 |
| 16.5 | 16.5.0-780 (recomendada) |
Não existe workaround. A Cisco recomenda migrar para a 16.5.0-780, que também traz correções de outras vulnerabilidades críticas divulgadas junto com este aviso.
O que fazer agora
- Atualize o Secure Email Gateway para uma das versões corrigidas acima, fora do ciclo normal de manutenção — trate como emergência, não como patch de rotina.
- Verifique os
mail_logsem busca de instruções SQL suspeitas, em todos os dispositivos do cluster (quando aplicável):cisco-esa> grep -i "COPY.*TO PROGRAM" mail_logs
Qualquer resultado nesse grep é indício de exploração.
- Cruze os logs de rede e firewall externos ao appliance em busca de uploads inesperados para IPs externos ou downloads de IPs maliciosos — como o atacante ganha root, ele pode apagar evidências localmente.
- Se encontrar indício de comprometimento em appliance físico, acione o TAC da Cisco. Em appliance virtual, é mais seguro isolar a VM, preservar evidências forenses, subir uma nova instância já na versão corrigida, reconstruir a configuração e renovar credenciais e materiais criptográficos do dispositivo.
Prazo
A CISA determinou que agências federais dos EUA corrijam a falha até 17 de setembro de 2026, sob a Binding Operational Directive 22-01. Para quem opera Secure Email Gateway fora do governo americano, o prazo é o mesmo na prática: a exploração já está em andamento e não há mitigação alternativa ao patch.
Perguntas frequentes
Preciso de autenticação para ser explorado?
Não. O ataque chega por um e-mail comum, processado normalmente pelo gateway — não exige login, interface administrativa exposta nem interação de quem recebe a mensagem.
Existe prova de conceito pública?
Até a publicação deste artigo, não havia PoC pública nem atribuição confirmada do grupo por trás da exploração.
Atualizar resolve mesmo sem checar logs antes?
Atualize primeiro, mas não pule a checagem de logs: se o dispositivo já foi comprometido, o patch corrige a falha, não remove um backdoor eventualmente instalado antes da atualização.
Conclusão
Gateway de e-mail exposto à internet e sem patch é o pior combo possível aqui: a CVE-2026-76461 não exige nenhuma ação da vítima além de receber um e-mail. Priorize a atualização do Secure Email Gateway hoje, confira os mail_logs de cada nó do cluster e trate qualquer resultado positivo no grep como incidente, não como alerta.
