Co se stalo
Cisco 14. září 2026 zveřejnilo bezpečnostní upozornění na kritickou chybu CVE-2026-76461 v softwaru AsyncOS, na kterém běží e-mailová brána Cisco Secure Email Gateway. Jde o zařízení, které stojí před firemním poštovním serverem a filtruje příchozí i odchozí poštu. Zachytává například spam a škodlivé přílohy.
Chyba se nachází v části, která zpracovává (rozebírá) e-mailové zprávy. Podle Cisca může útočník poslat přes zařízení speciálně upravený e-mail a dosáhnout tím spuštění libovolných příkazů s nejvyššími oprávněními (root) v operačním systému brány.
Americká agentura CISA zařadila chybu do katalogu aktivně zneužívaných zranitelností hned v den zveřejnění, 14. září 2026. Také evropská databáze zranitelností EUVD (záznam EUVD-2026-77625) ji vede jako zneužívanou od 14. září 2026. Kdo za útoky stojí, Cisco neuvedlo.
Cisco upozornění naposledy aktualizovalo 3. listopadu 2026. Uvádí v něm, že 31. října 2026 vydalo aktualizovanou opravu obsaženou ve verzi 15.5.5-014. Udělalo tak na základě nových informací o útočném kódu, který je dostupný na internetu.
Proč je to nebezpečné
Jde o zranitelnost typu SQL injection (CWE-89). Představte si úředníka, který do databáze přepisuje údaje z formuláře, aniž by je četl. Když někdo do kolonky „jméno“ napíše místo jména pokyn pro databázi, úředník ho poslušně provede. Brána podle Cisca dostatečně nekontroluje obsah e-mailů, které zpracovává. Útočník tak dokáže propašovat vlastní příkazy do její databáze a odtud až do operačního systému.
Útočník se nemusí nikam přihlašovat a nepotřebuje, aby někdo ve vaší firmě na něco klikl. Stačí, aby jeho e-mail prošel přes bránu, což je přesně její úkol. Útok tedy vede přes internet a zkusit ho může kdokoli, kdo vám dokáže poslat e-mail.
Při úspěšném útoku získá útočník oprávnění root, tedy úplnou kontrolu nad bránou. Cisco upozorňuje, že s takovým přístupem může útočník odstranit nebo skrýt stopy útoku. V clusteru může podle Cisca získat i soukromé SSH klíče, kterými se brány mezi sebou ověřují, a jejich pomocí napadnout ostatní brány.
- CVSS 9,8 z 10: hodnocení závažnosti, které přidělilo samo Cisco podle CVSS 3.1. Jde o téměř nejvyšší možnou známku, protože útok vede přes síť, je jednoduchý a nevyžaduje přihlášení.
- CISA KEV: katalog chyb, o kterých americká agentura CISA ví, že se skutečně zneužívají. Federální úřady v USA měly chybu opravit do 17. září 2026. Zda ji využívají ransomwarové skupiny, CISA zatím neuvádí.
- EPSS 29,5 % (k 3. listopadu 2026): odhad pravděpodobnosti zneužití v nejbližších 30 dnech. Chyba patří mezi přibližně 2 % nejrizikovějších ze všech sledovaných.
Koho se to týká
Chyba se týká zařízení Cisco Secure Email Gateway (známých také jako Cisco ESA nebo IronPort), fyzických i virtuálních, a to podle Cisca bez ohledu na jejich konfiguraci. Zranitelné jsou tyto větve softwaru AsyncOS, pokud nemají nainstalovanou opravu:
- 15.5 a starší (oprava od 15.5.5-014)
- 16.0 (oprava od 16.0.4-302)
- 16.5 (oprava od 16.5.0-780)
Typicky jde o e-mailové brány ve středních a větších firmách, ve veřejné správě nebo u poskytovatelů IT služeb, které filtrují poštu před serverem Exchange nebo před Microsoft 365. Takové zařízení je ze své podstaty dostupné z internetu, jinak by nemohlo přijímat poštu.
Cisco potvrdilo, že chyba se netýká produktů Secure Email and Web Manager a Secure Web Appliance. Všechna zařízení v cloudové službě Cisco Secure Email Cloud už Cisco aktualizovalo na verzi 16.5.0-780.
Jak zjistit, zda jste zasaženi
Verzi zjistíte ve webové administraci brány, například v části System Administration > System Upgrade, kde je uvedena aktuálně nainstalovaná verze. V příkazové řádce (CLI) zařízení ji zobrazí příkaz version, který nic nemění:
versionPokud máte verzi 15.5.5-014, ověřte ještě, zda je nainstalována i aktualizovaná oprava z 31. října 2026. Podle Cisca k tomu slouží příkaz retroscannerstatus a Cisco Retro Remediation Engine musí mít verzi 4.0.2 nebo novější:
retroscannerstatusVerze 16.5.0-780 je podle Cisca chráněna bez ohledu na verzi Retro Remediation Engine. Pokud máte více bran v clusteru, zkontrolujte každou zvlášť.
Jak to opravit
Cisco vydalo opravené verze: 15.5.5-014 pro větev 15.5 a starší, 16.0.4-302 pro větev 16.0 a 16.5.0-780 pro větev 16.5. Pokud máte verzi starší než 16.5, Cisco důrazně doporučuje přejít rovnou na 16.5.0-780. Náhradní řešení (workaround) podle Cisca neexistuje, jedinou ochranou je aktualizace.
Doporučené pořadí kroků:
- Zjistěte verzi na všech branách včetně členů clusteru.
- Ještě před aktualizací zkontrolujte logy podle sekce o napadení. Pokud najdete podezřelé záznamy, neaktualizujte naslepo a postupujte podle ní.
- Pokud nic podezřelého nevidíte, aktualizujte co nejdříve, ideálně na 16.5.0-780.
- U verze 15.5.5-014 ověřte příkazem
retroscannerstatus, že Retro Remediation Engine má verzi 4.0.2 nebo novější.
Postup aktualizace ve webové administraci podle Cisca:
- Zvolte
System Administration > System Upgrade. - Klikněte na
Upgrade Optionsa poté naDownload and Install. - Vyberte cílovou verzi a v části
Upgrade Preparationzvolte vhodné možnosti. - Klikněte na
Proceed. Po dokončení se zařízení restartuje.
V příkazové řádce spustíte aktualizaci příkazem upgrade, zvolíte DOWNLOADINSTALL, vyberete verzi a projdete průvodcem. Počítejte s restartem a krátkým výpadkem doručování pošty, proto si naplánujte vhodnou dobu. Zařízení ve službě Cisco Secure Email Cloud už Cisco aktualizovalo na 16.5.0-780.
Co když už jste mohli být napadeni
Cisco doporučuje prohledat log mail_logs a hledat podezřelé SQL příkazy, v clusteru na každém zařízení. Jako příklad (nikoli úplný seznam) uvádí tento příkaz v CLI brány, který pouze vyhledává. Pokud jste log přejmenovali, použijte jeho název. Jakýkoli nalezený záznam může znamenat útok:
grep -i "COPY.*TO PROGRAM" mail_logsÚtočník s oprávněními root může stopy na zařízení smazat. Cisco proto radí zkontrolovat také logy síťových zařízení a firewallu mimo bránu, zejména neočekávané odesílání dat z brány na externí IP adresy a stahování ze škodlivých adres.
Ve službě Cisco Secure Email Cloud nemusejí mít správci bez přístupu do CLI možnost tyto stopy sami ověřit. Cisco přímo kontaktovalo zákazníky, u kterých na zařízeních zjistilo škodlivou aktivitu.
Pokud máte podezření na napadení fyzického zařízení, kontaktujte podporu Cisco TAC a povolte na zařízení vzdálený přístup. U virtuálního zařízení Cisco doporučuje nejprve zaznamenat forenzní data, protože nasazení nové instance zničí konfiguraci i logy. Poté nasaďte nový virtuální stroj s opravenou verzí, znovu vytvořte konfiguraci, vyměňte všechny přihlašovací údaje a kryptografické materiály (certifikáty, klíče) a systém dál sledujte. Pokud byla napadena byť jen jedna brána v clusteru, obnovte všechny jeho členy. Pokud nemáte vlastní bezpečnostní tým, přizvěte odborníka na řešení incidentů ještě před jakýmkoli zásahem do zařízení.