if ( !emtpy($headline_subheadline ) ) : ?>
« Un RCE non authentifié au niveau racine dans une passerelle de messagerie est à peu près aussi efficace qu’un attaquant. »
endif; ?>
Cisco a publié des correctifs d’urgence pour une vulnérabilité critique de son appliance Secure Email Gateway, qui pourrait permettre à des attaquants de prendre le contrôle de l’appareil en envoyant simplement des e-mails malveillants aux utilisateurs. La faille était déjà exploitée au moment de la publication des correctifs.
Suivie comme CVE-2026-76461, la vulnérabilité est décrite par Cisco comme une injection SQL provoquée par une validation insuffisante dans le code d’analyse des e-mails du produit. L’analyse des messages électroniques entrants à la recherche de menaces est la tâche principale de cette appliance, ce qui signifie que le vecteur d’attaque est trivial.
« Un attaquant pourrait exploiter cette vulnérabilité en envoyant un message électronique contrefait contenant des instructions SQL malveillantes via un appareil concerné », a déclaré Cisco dans son avis. « Un exploit réussi pourrait permettre à l’attaquant d’exécuter des instructions SQL arbitraires, conduisant à l’exécution de commandes avec les privilèges root sur le système d’exploitation sous-jacent. »
La faille affecte à la fois les versions physiques et virtuelles du produit et a été corrigée dans les versions 15.5.5-0141, 16.0.4-3021 et 16.5.0-780 du micrologiciel AsyncOS publiées lundi. L’équipe de sécurité des produits Cisco a pris connaissance de l’exploitation active de cette vulnérabilité au début du mois et la Cybersecurity and Infrastructure Security Agency (CISA) des États-Unis l’a ajoutée à son catalogue de vulnérabilités exploitées connues (KEV).
Des indicateurs de compromis pourraient manquer
Étant donné que la vulnérabilité a été exploitée comme un jour zéro, la simple mise à niveau vers la version corrigée du micrologiciel ne suffit pas. Les organisations doivent également essayer de déterminer si leurs propres appareils ont été compromis.
Une façon consiste à revoir le mail_logs pour les instructions SQL suspectes. Cependant, étant donné qu’une exploitation réussie donne aux attaquants un accès root sur l’appareil, ils pourraient utiliser cet accès pour modifier les journaux et masquer leurs traces. Cisco conseille aux organisations de vérifier également tous les journaux de réseau et de pare-feu en dehors de l’appareil pour détecter tout signe d’activité suspecte, tel que des téléchargements de fichiers entre l’appareil et des adresses IP externes.
Si une exploitation est suspectée sur des appareils physiques, Cisco recommande de contacter le centre d’assistance technique Cisco. Pour les appareils virtuels, il est conseillé aux clients de sauvegarder toutes les informations médico-légales, puis de déployer une nouvelle instance avec une configuration reconstruite et des informations d’identification alternées.
Les appareils inscrits à Cisco Secure Email Cloud ont déjà été examinés par Cisco et les propriétaires des appareils présentant des signes potentiels de compromission ont été contactés. L’avis de la société comprend également des recommandations générales pour le renforcement de la sécurité des appareils.
