Falha crítica no Cisco Secure Email é explorada e permite execução de comandos como root
A Cisco confirmou que uma vulnerabilidade crítica do Secure Email Gateway está sendo explorada ativamente por invasores. O problema, registrado como CVE-2026-76461, possibilita a execução de comandos com privilégios máximos no dispositivo afetado e recebeu pontuação 9,8 no CVSS, classificação considerada crítica.
A falha atinge o AsyncOS, sistema operacional utilizado nas versões física e virtual do Cisco Secure Email Gateway. O defeito está relacionado à validação inadequada da lógica responsável por processar determinadas mensagens recebidas pelo equipamento.
Ataque pode começar com um e-mail especialmente preparado
De acordo com a Cisco, um invasor pode enviar uma mensagem contendo instruções SQL maliciosas para um gateway vulnerável. O processamento incorreto desse conteúdo permite executar comandos SQL arbitrários e, em determinadas condições, alcançar a execução de comandos no sistema operacional com privilégios de root.
Esse cenário torna o risco especialmente elevado. Diferentemente de um servidor interno que pode estar protegido por várias camadas de filtragem, o gateway de e-mail precisa aceitar mensagens de remetentes externos. Assim, o próprio funcionamento do produto deixa exposta uma superfície de ataque acessível a qualquer pessoa capaz de criar uma mensagem com o formato adequado.
Uma exploração bem-sucedida pode permitir alterar configurações, acessar informações armazenadas no equipamento, manipular filas de mensagens, criar mecanismos de persistência e utilizar o gateway como ponto de entrada para outros sistemas da organização. O impacto exato depende da arquitetura da rede e das permissões concedidas ao dispositivo.
Versões afetadas e atualizações disponíveis
A vulnerabilidade está presente nas seguintes linhas do Cisco Secure Email Gateway:
– AsyncOS 15.5 e versões anteriores;
– AsyncOS 16.0;
– AsyncOS 16.5.
A Cisco disponibilizou correções nas versões:
– 15.5.5-0141;
– 16.0.4-302;
– 16.5.0-780.
O Cisco Secure Email and Web Manager e o Cisco Secure Web Appliance não são afetados por essa falha específica.
Até o momento, não existe um mecanismo de contorno capaz de eliminar o risco. Por isso, a atualização para uma versão corrigida é considerada a principal medida de proteção. Organizações que não puderem aplicar o patch imediatamente devem tratar o equipamento como prioridade máxima de resposta e reduzir, quando possível, sua exposição administrativa e de rede.
Vulnerabilidade já entrou no catálogo de falhas exploradas
A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos, a CISA, adicionou a CVE-2026-76461 ao catálogo de vulnerabilidades conhecidamente exploradas em 14 de setembro. Para as agências federais norte-americanas, o prazo estabelecido para instalação da correção foi 17 de setembro.
A inclusão nesse catálogo indica que a falha não é apenas teórica ou baseada em provas de conceito. Ela já foi observada em atividades reais de exploração, embora a Cisco não tenha divulgado a quantidade de ataques, os alvos atingidos ou a identidade dos grupos envolvidos.
Empresas privadas também devem considerar o alerta como um indicador de risco elevado. Equipamentos de segurança voltados à análise de e-mails costumam concentrar grande volume de mensagens e podem conter informações sensíveis sobre usuários, domínios, regras internas e comunicações corporativas.
Como investigar possíveis comprometimentos
Administradores devem examinar os registros do gateway em busca de mensagens incomuns, erros relacionados ao processamento de conteúdo, consultas SQL inesperadas e alterações não autorizadas em configurações. Também é importante verificar os registros de cluster, principalmente em ambientes com mais de um equipamento integrado.
A análise deve incluir logs de rede e firewall. Transferências de dados fora do padrão, conexões para endereços desconhecidos, comunicação em horários incomuns e tráfego originado diretamente do gateway podem indicar que o dispositivo foi utilizado por um invasor.
Outro ponto relevante é comparar as configurações atuais com cópias conhecidas como confiáveis. Alterações em contas administrativas, regras de filtragem, encaminhamentos, certificados, filas de mensagens e integrações externas devem ser investigadas cuidadosamente.
A atualização, por si só, não confirma nem elimina um comprometimento anterior. Se houver indícios de exploração, é necessário preservar os registros, limitar a comunicação do equipamento, revisar credenciais associadas e avaliar a necessidade de reinstalação ou restauração a partir de uma imagem confiável.
Recomendações para reduzir o impacto
A administração do Secure Email Gateway deve ser restrita a redes e endereços autorizados, sem exposição direta da interface de gerenciamento à internet. Contas administrativas precisam utilizar autenticação forte, privilégios mínimos e credenciais exclusivas para o equipamento.
Também é recomendável manter os registros centralizados em uma plataforma de monitoramento. Dessa forma, mesmo que um invasor tente apagar evidências locais, eventos relevantes poderão permanecer disponíveis para análise.
Após a aplicação do patch, as equipes de segurança devem continuar monitorando o ambiente. Ataques podem ter deixado contas secundárias, regras persistentes ou conexões programadas que não serão removidas automaticamente pela atualização.
A Cisco recomenda a adoção imediata das versões corrigidas e a revisão dos registros de e-mail, cluster, rede e firewall. Diante da exploração ativa e da possibilidade de execução como root, o tratamento da CVE-2026-76461 deve ser conduzido como um incidente de alta prioridade, especialmente em organizações que mantêm o gateway acessível a remetentes externos.