Cisco a publié deux avis pour des failles déjà exploitées dans sa passerelle de messagerie Secure Email Gateway (anciennement ESA), à un mois d’écart : CVE-2026-76461 le 14 septembre 2026, puis CVE-2026-76519 le 14 octobre 2026. Les deux sont notées 9,8 sur 10, et les deux ont un point commun inquiétant : il suffit d’envoyer un e-mail piégé à travers la passerelle pour exécuter des commandes avec les droits root, sans authentification ni action d’un utilisateur.
Les deux failles
| CVE-2026-76461 | CVE-2026-76519 | |
|---|---|---|
| Avis Cisco | cisco-sa-esa-inj-2bLVGmhX | cisco-sa-esa-afw-zqYJkjxp |
| Publié le | 14 septembre 2026 | 14 octobre 2026 |
| Nature | Injection SQL dans l’analyse des e-mails | Écriture de fichiers arbitraires (traversée de chemin) via une pièce jointe |
| Composant | Analyse des messages d’AsyncOS | Fonction AMP, service de réputation de fichiers |
| Conditions | Aucune, quelle que soit la configuration | Réputation de fichiers activée et associée à une politique de messagerie, et Content Scanner Tools antérieur à 25.3.0.5525 |
| Exploitation | Constatée par Cisco en septembre 2026 | Constatée par Cisco en octobre 2026 |
| Contournement | Aucun | Aucun |
La CISA a ajouté les deux failles à son catalogue des vulnérabilités exploitées, le 14 septembre puis le 14 octobre 2026.
Ce qui est touché
Les passerelles Cisco Secure Email Gateway physiques et virtuelles sous AsyncOS 15.5 et antérieures, 16.0 et 16.5. L’offre cloud Cisco Secure Email Cloud était aussi concernée : Cisco indique avoir mis à jour toutes ses instances en 16.5.0-780, déployé des mesures de protection, et contacté directement les clients chez qui des signes de compromission ont été trouvés.
Versions corrigées
| Branche AsyncOS | Correctif CVE-2026-76461 | Correctif CVE-2026-76519 |
|---|---|---|
| 15.5 et antérieures | 15.5.5-014 | 15.5.5-014 |
| 16.0 | 16.0.4-302 | Migrer vers une version corrigée |
| 16.5 | 16.5.0-780 | 16.5.0-780 |
Cisco recommande de migrer vers 16.5.0-780 si vous êtes sur une version antérieure à 16.5. Pour CVE-2026-76519, le correctif est également distribué via le paquet Content Scanner Tools 25.3.0.5525 ou ultérieur, sur toutes les versions supportées.
Comment savoir si vous êtes exposé ou compromis
Pour CVE-2026-76519
- Dans l’interface web : Mail Policies > Incoming Mail Policies > Advanced Malware Protection (et la même chose pour les politiques sortantes). Si « Enable File Reputation » est coché, la condition est remplie.
- En ligne de commande :
contentscannerstatusaffiche la version de Content Scanner Tools. En dessous de 25.3.0.5525, l’appliance est vulnérable ;contentscannerupdateforce la mise à jour. - Pour repérer une tentative d’exploitation, Cisco indique la commande
grep "System Security" system_logs. Trois réponses sont possibles : « Suspected compromise indicator was found » (compromission détectée, suivre la procédure de l’avis), « Security scan did not complete » (contacter le support) ou « No compromise indicator was found ».
Pour CVE-2026-76461
- Cisco recommande de chercher dans les journaux de messagerie :
grep -i "COPY.*TO PROGRAM"sur le journalmail_logs. Selon Cisco, toute ligne trouvée peut indiquer une activité malveillante.
Dans les deux cas
- Contrôlez chaque membre d’une grappe (cluster) : les appliances d’une grappe s’authentifient entre elles par des paires de clés SSH. Un attaquant qui compromet une appliance peut récupérer ces clés et atteindre les autres. Cisco demande de remettre en configuration saine chaque membre d’une grappe qui contient au moins une appliance compromise.
- Regardez en dehors de l’appliance : avec les droits root, un attaquant peut effacer ses traces. Cisco conseille de vérifier les journaux du pare-feu et du réseau, à la recherche d’envois inattendus vers l’extérieur ou de téléchargements depuis des adresses malveillantes.
Quoi faire concrètement
- Mettez à jour vers AsyncOS 16.5.0-780, puis vérifiez la version de Content Scanner Tools.
- Lancez les recherches dans les journaux décrites ci-dessus, sur chaque appliance.
- En cas d’indice de compromission : sur une appliance physique, contactez le support Cisco (TAC) ; sur une appliance virtuelle, conservez les éléments d’analyse, redéployez une nouvelle machine sur une version corrigée, reconstruisez la configuration et renouvelez identifiants et éléments cryptographiques.
- Restreignez l’accès aux interfaces d’administration à un réseau de gestion.
- Abonnez-vous aux avis Cisco : la passerelle de messagerie traite du contenu envoyé par n’importe qui sur Internet, c’est un équipement à surveiller de près.
Pour vérifier le comportement de vos utilisateurs face aux e-mails suspects qui passeraient malgré tout, notre détecteur de phishing permet d’analyser un message douteux.
Ce qu’il faut retenir
Une passerelle de messagerie est exposée par nature : elle doit accepter les e-mails du monde entier. Deux failles exploitables par simple envoi d’un message en un mois, c’est le signal qu’il faut traiter ces équipements comme des serveurs exposés, avec des mises à jour rapides et une surveillance des journaux.
Sources
- Cisco, « Cisco Secure Email Gateway SQL Injection Vulnerability » (cisco-sa-esa-inj-2bLVGmhX), 14 septembre 2026, mis à jour le 17 septembre 2026 : https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-inj-2bLVGmhX
- Cisco, « Cisco Secure Email Gateway Arbitrary File Write Vulnerability » (cisco-sa-esa-afw-zqYJkjxp), 14 octobre 2026 : https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-afw-zqYJkjxp
- CISA, Known Exploited Vulnerabilities Catalog, entrées CVE-2026-76461 et CVE-2026-76519 : https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- BleepingComputer, « Cisco patches actively exploited Secure Email Gateway zero-day », 14 octobre 2026 : https://www.bleepingcomputer.com/news/security/cisco-patches-actively-exploited-secure-email-gateway-zero-day/
