Čo sa stalo
Cisco 14. septembra 2026 zverejnilo bezpečnostné upozornenie na kritickú chybu CVE-2026-76461 v softvéri AsyncOS, ktorý poháňa e-mailovú bránu Cisco Secure Email Gateway. Ide o zariadenie, ktoré stojí pred firemným poštovým serverom a filtruje prichádzajúcu a odchádzajúcu poštu. Zachytáva napríklad spam a škodlivé prílohy.
Chyba je v časti, ktorá spracúva (rozoberá) e-mailové správy. Podľa Cisca môže útočník poslať cez zariadenie špeciálne upravený e-mail a dosiahnuť tak spustenie ľubovoľných príkazov s najvyššími oprávneniami (root) v operačnom systéme brány.
Americká agentúra CISA zaradila chybu do katalógu aktívne zneužívaných zraniteľností ešte v deň zverejnenia, 14. septembra 2026. Aj európska databáza zraniteľností EUVD (záznam EUVD-2026-77625) ju vedie ako zneužívanú od 14. septembra 2026. Kto za útokmi stojí, Cisco neuviedlo.
Cisco upozornenie naposledy aktualizovalo 3. novembra 2026. Uvádza v ňom, že 31. októbra 2026 vydalo aktualizovanú opravu obsiahnutú vo verzii 15.5.5-014. Urobilo tak na základe nových informácií o útočnom kóde, ktorý je dostupný na internete.
Prečo je to nebezpečné
Ide o zraniteľnosť typu SQL injection (CWE-89). Predstavte si úradníka, ktorý do databázy prepisuje údaje z formulára bez toho, aby si ich prečítal. Ak niekto do kolónky „meno“ napíše namiesto mena pokyn pre databázu, úradník ho poslušne vykoná. Brána podľa Cisca dostatočne nekontroluje obsah e-mailov, ktoré spracúva. Útočník tak dokáže prepašovať vlastné príkazy do jej databázy a odtiaľ až do operačného systému.
Útočník sa nemusí nikam prihlasovať a nepotrebuje, aby niekto vo vašej firme na niečo klikol. Stačí, aby jeho e-mail prešiel cez bránu, a to je presne jej úloha. Útok teda ide cez internet a skúsiť ho môže ktokoľvek, kto vám vie poslať poštu.
Pri úspešnom útoku získa útočník oprávnenia root, teda úplnú kontrolu nad bránou. Cisco upozorňuje, že s takým prístupom môže útočník odstrániť alebo skryť stopy útoku. V klastri môže podľa Cisca získať aj súkromné SSH kľúče, ktorými sa brány medzi sebou overujú, a cez ne napadnúť ostatné brány.
- CVSS 9,8 z 10: hodnotenie závažnosti, ktoré pridelilo samo Cisco podľa CVSS 3.1. Ide o takmer najvyššiu možnú známku, pretože útok je cez sieť, jednoduchý a bez prihlásenia.
- CISA KEV: katalóg chýb, o ktorých americká agentúra CISA vie, že sa reálne zneužívajú. Federálne úrady v USA mali chybu opraviť do 17. septembra 2026. Či ju využívajú ransomvérové skupiny, CISA zatiaľ neuvádza.
- EPSS 29,5 % (k 3. novembru 2026): odhad pravdepodobnosti zneužitia v najbližších 30 dňoch. Chyba patrí medzi približne 2 % najrizikovejších zo všetkých sledovaných.
Koho sa to týka
Chyba sa týka zariadení Cisco Secure Email Gateway (známych aj ako Cisco ESA alebo IronPort), fyzických aj virtuálnych, a to podľa Cisca bez ohľadu na ich konfiguráciu. Zraniteľné sú tieto vetvy softvéru AsyncOS, ak nemajú nainštalovanú opravu:
- 15.5 a staršie (oprava od 15.5.5-014)
- 16.0 (oprava od 16.0.4-302)
- 16.5 (oprava od 16.5.0-780)
Typicky ide o e-mailové brány v stredných a väčších firmách, vo verejnej správe alebo u poskytovateľov IT služieb, ktoré filtrujú poštu pred serverom Exchange alebo pred Microsoft 365. Takéto zariadenie je z povahy veci dostupné z internetu, inak by nemohlo prijímať poštu.
Cisco potvrdilo, že chyba sa netýka produktov Secure Email and Web Manager a Secure Web Appliance. Všetky zariadenia v cloudovej službe Cisco Secure Email Cloud už Cisco aktualizovalo na verziu 16.5.0-780.
Ako zistiť, či ste zasiahnutí
Verziu zistíte vo webovej administrácii brány, napríklad v časti System Administration > System Upgrade, kde je uvedená aktuálne nainštalovaná verzia. V príkazovom riadku (CLI) zariadenia ju zobrazí príkaz version, ktorý nič nemení:
versionAk máte verziu 15.5.5-014, overte ešte, či je nainštalovaná aj aktualizovaná oprava z 31. októbra 2026. Podľa Cisca na to slúži príkaz retroscannerstatus a Cisco Retro Remediation Engine musí mať verziu 4.0.2 alebo novšiu:
retroscannerstatusVerzia 16.5.0-780 je podľa Cisca chránená bez ohľadu na verziu Retro Remediation Engine. Ak máte viac brán v klastri, skontrolujte každú zvlášť.
Ako to opraviť
Cisco vydalo opravené verzie: 15.5.5-014 pre vetvu 15.5 a staršie, 16.0.4-302 pre vetvu 16.0 a 16.5.0-780 pre vetvu 16.5. Ak máte verziu staršiu ako 16.5, Cisco dôrazne odporúča prejsť priamo na 16.5.0-780. Dočasné riešenie (workaround) podľa Cisca neexistuje, jedinou ochranou je aktualizácia.
Odporúčané poradie krokov:
- Zistite verziu na všetkých bránach vrátane členov klastra.
- Ešte pred aktualizáciou skontrolujte logy podľa sekcie o napadnutí. Ak nájdete podozrivé záznamy, neaktualizujte naslepo a postupujte podľa nej.
- Ak nič podozrivé nevidíte, aktualizujte čo najskôr, ideálne na 16.5.0-780.
- Pri verzii 15.5.5-014 overte príkazom
retroscannerstatus, že Retro Remediation Engine má verziu 4.0.2 alebo novšiu.
Postup aktualizácie vo webovej administrácii podľa Cisca:
- Zvoľte
System Administration > System Upgrade. - Kliknite na
Upgrade Optionsa potom naDownload and Install. - Vyberte cieľovú verziu a v časti
Upgrade Preparationzvoľte vhodné možnosti. - Kliknite na
Proceed. Po dokončení sa zariadenie reštartuje.
V príkazovom riadku spustíte aktualizáciu príkazom upgrade, zvolíte DOWNLOADINSTALL, vyberiete verziu a prejdete sprievodcom. Počítajte s reštartom a krátkym výpadkom doručovania pošty, preto si naplánujte vhodný čas. Zariadenia v službe Cisco Secure Email Cloud už Cisco aktualizovalo na 16.5.0-780.
Čo ak už ste mohli byť napadnutí
Cisco odporúča prehľadať log mail_logs a hľadať podozrivé SQL príkazy, v klastri na každom zariadení. Ako príklad (nie úplný zoznam) uvádza tento príkaz v CLI brány, ktorý len vyhľadáva. Ak ste log premenovali, použite jeho názov. Akýkoľvek nájdený záznam môže znamenať útok:
grep -i "COPY.*TO PROGRAM" mail_logsÚtočník s oprávneniami root môže stopy na zariadení zmazať. Cisco preto radí skontrolovať aj logy sieťových zariadení a firewallu mimo brány, najmä neočakávané odosielanie dát z brány na externé IP adresy a sťahovanie zo škodlivých adries.
V službe Cisco Secure Email Cloud nemusia mať správcovia bez prístupu do CLI možnosť tieto stopy sami overiť. Cisco priamo kontaktovalo zákazníkov, u ktorých na zariadeniach zistilo škodlivú aktivitu.
Ak máte podozrenie na napadnutie fyzického zariadenia, kontaktujte podporu Cisco TAC a povoľte na zariadení vzdialený prístup. Pri virtuálnom zariadení Cisco odporúča najprv zaznamenať forenzné dáta, pretože nasadenie novej inštancie zničí konfiguráciu aj logy. Potom nasaďte nový virtuálny stroj s opravenou verziou, znovu vytvorte konfiguráciu, vymeňte všetky prihlasovacie údaje a kryptografické materiály (certifikáty, kľúče) a systém ďalej sledujte. Ak bola napadnutá čo len jedna brána v klastri, obnovte všetky jeho členy. Ak nemáte vlastný bezpečnostný tím, prizvite odborníka na riešenie incidentov ešte pred akýmkoľvek zásahom do zariadenia.