زیرودی Cisco Secure Email Gateway با یه ایمیل دسترسی root می‌ده
خلاصهٔ کامل‌تر
Cisco روز 14 اکتبر یه advisory برای CVE-2026-76519 منتشر کرد و CISA هم همون روز اونو به فهرست Known Exploited Vulnerabilities اضافه کرد. باگ از نوع relative path traversal هست (یعنی مهاجم با دستکاری مسیر فایل، اونو جایی خارج از پوشهٔ مجاز می‌نویسه) و تو بخشیه که قابلیت Advanced Malware Protection پیوست‌های ایمیل رو بررسی می‌کنه. نتیجه‌ش اینه که یه مهاجم بدون احراز هویت با یه ایمیل می‌تونه روی دستگاه فایل بنویسه و با root فرمان اجرا کنه.
همهٔ گیت‌وی‌ها آسیب‌پذیر نیستن. فقط وقتی مشکل داری که File Reputation روشن باشه و به یه mail policy وصل شده باشه، و نسخهٔ پکیج Content Scanner Tools پایین‌تر از 25.3.0.5525 باشه. Cisco هنوز نگفته چند تا دستگاه هک شدن یا کی پشت حمله‌هاست. مهلت CISA برای سازمان‌های فدرال 17 اکتبر بود و BSI آلمان هم 15 اکتبر یه هشدار با اهمیت بالا داد.
نکتهٔ عجیب ماجرا اینه که Cisco فیکس این باگ رو از سپتامبر تو یه نسخهٔ hardening گذاشته بود، همون روزی که فیکس SQL injection قبلی یعنی CVE-2026-76461 اومد، ولی فقط بعد از شروع حمله‌ها براش advisory جدا داد. نسخه‌های اصلاح‌شده AsyncOS 15.5.5-014 و 16.5.0-780 هستن. برای 16.0 نسخهٔ اصلاح‌شده نیست و 16.0.4-302 که باگ سپتامبر رو بست، این یکی رو نمی‌بنده. یعنی کسایی که روی 16.0 موندن و فکر می‌کردن امنن، در واقع امن نیستن.
چرا مهمه؟ گیت‌وی ایمیل همهٔ پیام‌های ورودی رو می‌بینه. root روی اون یعنی مهاجم می‌تونه ایمیل‌ها رو بخونه یا عوض کنه و یه جای پا داخل شبکه داره. اعضای یه cluster هم با کلیدهای SSH به هم اعتماد می‌کنن. این سومین باگ سطح root تو این دستگاه‌هاست که از دسامبر تأیید شده، بعد از CVE-2025-20393 که یه گروه مرتبط با چین به اسم UAT-9686 ازش استفاده کرد.
توصیه‌ها اینه: اول ببین File Reputation روشنه یا نه و با فرمان contentscannerstatus نسخهٔ اسکنر رو چک کن. بعد اسکنر رو با contentscannerupdate یا آپدیت خودکار به 25.3.0.5525 یا بالاتر ببر. این کار بدون ارتقای نرم‌افزار و ری‌استارت باگ رو می‌بنده. بعدش برو روی 15.5.5-014 یا 16.5.0-780، و اگه روی 16.0 هستی به 16.5.0-780 مهاجرت کن.
برای پیدا کردن نشونهٔ نفوذ، تو system logs همهٔ اعضای cluster دنبال عبارت «System Security» بگرد. ولی نتیجهٔ تمیز تضمین نیست، چون مهاجمی که root داره می‌تونه ردشو پاک کنه. پس لاگ فایروال رو هم برای آپلودهای غیرعادی به بیرون چک کن. اگه یه گیت‌وی مجازی آلوده شده، اول دادهٔ فارنزیک رو نگه دار چون ارتقا لاگ‌ها رو پاک می‌کنه، بعد یه VM تازه با نسخهٔ اصلاح‌شده بساز، کانفیگ رو از نو بنویس و همهٔ رمزها و کلیدها رو عوض کن.
نکات کلیدی:
- شناسهٔ باگ CVE-2026-76519 با امتیاز CVSS 9.8 هست و حمله‌های واقعی گزارش شده.
- فقط وقتی آسیب‌پذیری که File Reputation روشن باشه و Content Scanner Tools زیر 25.3.0.5525 باشه.
- نسخه‌های اصلاح‌شده: AsyncOS 15.5.5-014 و 16.5.0-780؛ برای 16.0 نسخهٔ اصلاح‌شده وجود نداره.
- آپدیت Content Scanner Tools بدون ری‌استارت و ارتقای نرم‌افزار مشکل رو حل می‌کنه.
- این دومین باگ سوءاستفاده‌شدهٔ این محصول تو یه ماه و سومین باگ سطح root از دسامبره.
- اگه یه عضو cluster آلوده شد، باید همهٔ اعضا بازسازی بشن.
