Cisco a confirmé l'exploitation active de CVE-2026-76519, une vulnérabilité notée 9,8 sur 10 à l'échelle CVSS qui touche les passerelles Cisco Secure Email Gateway (SEG), physiques et virtuelles. Un attaquant peut en tirer parti sans authentification en envoyant un simple e-mail piégé, et obtenir une exécution de commandes avec les privilèges root sur l'appliance. Des correctifs existent depuis le 14 septembre 2026 ; l'alerte d'exploitation active, publiée le 14 octobre, doit relancer la priorité de leur déploiement.
CVE-2026-76519 : une traversée de chemin dans l'analyse des pièces jointes
Selon l'avis de sécurité officiel de Cisco, CVE-2026-76519 provient d'une faiblesse de type traversée de chemin (path traversal) dans la fonctionnalité Advanced Malware Protection (AMP) de Secure Email Gateway, liée à une mauvaise gestion des pièces jointes par les outils de scan de contenu (Content Scanner Tools). Un attaquant distant, sans identifiant, peut envoyer un e-mail contenant une pièce jointe spécialement conçue pour écrire des fichiers arbitraires sur le système, puis exécuter des commandes avec les privilèges root. Cisco a découvert la faille lors de ses propres analyses de sécurité internes.
À retenir : l'exploitation ne nécessite aucune action de la victime au-delà de la simple réception de l'e-mail par la passerelle, et un accès root ouvre la voie à l'effacement des traces de l'intrusion.
Quelles appliances et versions sont concernées ?
La faille touche les appliances Secure Email Gateway dont le service File Reputation est activé et assigné à une politique de messagerie (entrante ou sortante), et dont la version des Content Scanner Tools est antérieure à 25.3.0.5525. Secure Email and Web Manager et Secure Web Appliance ne sont pas concernés. Cisco a publié les correctifs suivants, disponibles depuis le 14 septembre 2026 :
| Branche AsyncOS | Statut du correctif |
|---|---|
| 15.5 | Corrigée en 15.5.5-014 |
| 16.0 | Aucun correctif prévu : migration nécessaire vers 16.5 |
| 16.5 | Corrigée en 16.5.0-780 |
| Content Scanner Tools | Corrigé en version 25.3.0.5525 ou ultérieure |
La mise à jour des Content Scanner Tools ne nécessite ni mise à niveau logicielle complète ni redémarrage de l'appliance, ce qui en fait la mesure la plus rapide à déployer en urgence.
Pourquoi cette faille est-elle activement exploitée ?
Cisco indique que son équipe de sécurité (PSIRT) « a eu connaissance, en octobre 2026, d'une exploitation active de cette vulnérabilité ». La CISA a inscrit CVE-2026-76519 à son catalogue des vulnérabilités connues pour être exploitées (Known Exploited Vulnerabilities) le 14 octobre 2026, le jour même de la publication de l'avis dédié. Cisco n'a pas communiqué le nombre d'appliances compromises ni l'identité des attaquants. Selon le cabinet Shadowserver, environ 300 instances Secure Email Gateway restent exposées directement sur internet, sans distinction entre pots de miel et appliances réellement vulnérables.
Que faire ? Corriger et vérifier une éventuelle compromission
Cisco précise qu'il n'existe aucune mesure de contournement pour cette faille : seule l'application des correctifs l'élimine. La priorité est donc la mise à jour immédiate des Content Scanner Tools, suivie si nécessaire de la migration vers AsyncOS 15.5.5-014 ou 16.5.0-780.
- Vérifier si vous êtes concerné : dans l'interface web, section Mail Policies des politiques entrantes et sortantes, contrôler si « Enable File Reputation » est activé dans les paramètres Advanced Malware Protection.
- Contrôler la version des outils de scan en ligne de commande avec
contentscannerstatus. - Mettre à jour immédiatement avec
contentscannerupdate, ou activer les mises à jour automatiques dans Security Services > Service Updates. - Planifier la migration des appliances encore en AsyncOS 16.0 vers 16.5.0-780, aucun correctif n'étant prévu pour cette branche.
- Répéter la vérification sur chaque membre d'un cluster : un attaquant disposant d'un accès root peut voler les clés SSH privées utilisées entre les appliances d'un même cluster et ainsi atteindre les autres membres.
Comment détecter une compromission déjà survenue ?
Cisco recommande de rechercher un indicateur de compromission dans les journaux système, en ligne de commande :
grep "System Security" system_logs
Trois résultats sont possibles : un indicateur de compromission suspectée impose de suivre les recommandations de l'avis Cisco et de contacter le centre d'assistance technique (TAC) ; une analyse incomplète impose également de contacter le TAC ; l'absence d'indicateur signifie qu'aucune compromission n'a été détectée par ce contrôle précis, sans garantir l'absence totale de compromission.
Cisco recommande donc de recouper ce résultat avec les journaux de pare-feu et de réseau collectés hors de l'appliance, à la recherche de transferts sortants inhabituels ou de connexions vers des adresses IP suspectes, car un attaquant disposant d'un accès root peut effacer les journaux locaux. En cas de doute sur une appliance virtuelle, Cisco recommande de préserver les preuves forensiques, de déployer une instance propre sans réimporter l'ancienne configuration, puis de renouveler les identifiants et le matériel cryptographique.
Pour prioriser cette correction parmi d'autres vulnérabilités en attente, le calculateur de score CVSS et la base CVE de ForenShield aident à comparer rapidement la criticité de plusieurs failles. Notre guide pour comprendre le score CVSS détaille les facteurs qui expliquent pourquoi une faille atteint un score aussi élevé que 9,8. Cette alerte s'ajoute à une série de failles Cisco corrigées ces dernières semaines, dont celle touchant Cisco ISE, illustrant la pression constante exercée sur les équipements exposés en périphérie de réseau comme le montrait aussi notre analyse des failles critiques du noyau Linux inscrites au catalogue CISA KEV.
Points clés
- CVE-2026-76519 est une faille critique (CVSS 9,8) de traversée de chemin dans Cisco Secure Email Gateway, exploitable sans authentification via une pièce jointe piégée.
- Elle permet l'exécution de commandes avec les privilèges root sur l'appliance ; Cisco a confirmé une exploitation active en octobre 2026 et la CISA l'a inscrite à son catalogue KEV le 14 octobre 2026.
- Les correctifs (AsyncOS 15.5.5-014, 16.5.0-780, Content Scanner Tools 25.3.0.5525+) sont disponibles depuis le 14 septembre 2026 ; aucun contournement n'existe.
- Environ 300 appliances restent exposées directement sur internet selon Shadowserver.
- Vérifiez la version des Content Scanner Tools, mettez à jour sans délai, puis recherchez un indicateur de compromission dans les journaux système et réseau de chaque appliance, y compris au sein d'un cluster.