Cisco łata dwie krytyczne luki 0-day

Cisco pod presją po wykryciu aktywnych ataków

Cisco opublikowało pilne poprawki dla dwóch krytycznych podatności typu zero-day, które były już aktywnie wykorzystywane, zanim firma zdążyła je ujawnić i załatać. Jedna z luk dotyczy Cisco Secure Email Gateway, a druga Cisco Identity Services Engine (ISE).

W obu przypadkach mowa o błędach o najwyższej wadze bezpieczeństwa, ocenionych na CVSS 9,8 i 10,0. Co ważne, atak nie wymaga uwierzytelnienia, a skuteczne wykorzystanie podatności może dać napastnikowi bardzo szeroką kontrolę nad urządzeniem.

Luka w Secure Email Gateway pozwala na wykonanie komend jako root

Pierwsza z podatności, oznaczona jako CVE-2026-76461, dotyczy oprogramowania Cisco AsyncOS Software for Cisco Secure Email Gateway. Problem leży w logice parsowania wiadomości e-mail i niewystarczającej walidacji danych.

W praktyce atakujący może wysłać spreparowaną wiadomość e-mail przez podatne urządzenie i doprowadzić do wykonania własnych poleceń z uprawnieniami root. Cisco poinformowało, że podatność była już wykorzystywana w środowisku produkcyjnym.

Luka obejmuje zarówno urządzenia fizyczne, jak i wirtualne, niezależnie od konfiguracji. Nie dotyczy natomiast innych produktów, takich jak Secure Email and Web Manager czy Secure Web Appliance.

Które wersje są podatne

Poprawki przygotowano dla następujących gałęzi:

• 15.5 i wcześniejsze — naprawione w 15.5.5-0141
• 16.0 — naprawione w 16.0.4-302
• 16.5 — naprawione w 16.5.0-780

Cisco zaznacza, że nie ma obejścia problemu innego niż aktualizacja do wspieranej wersji z poprawką.

ISE z luką w API i obejściem uwierzytelniania

Druga podatność, CVE-2026-76460, dotyczy Cisco Identity Services Engine oraz Cisco ISE Passive Identity Connector (ISE-PIC). Przyczyną jest niewystarczająca kontrola nad jednym z endpointów API.

Atakujący może wysłać spreparowane żądanie do podatnego API i uzyskać nieautoryzowany dostęp do urządzenia, omijając webowy interfejs administracyjny. Także tutaj mówimy o luce o maksymalnej wadze, ocenionej na CVSS 10,0.

Cisco podkreśliło, że problem dotyczy instalacji niezależnie od konfiguracji. Firma wydała aktualizacje i również w tym przypadku nie wskazała skutecznego obejścia poza wdrożeniem poprawek.

CISA dopisała podatności do katalogu KEV

Obie luki trafiły do katalogu Known Exploited Vulnerabilities (KEV) prowadzonego przez amerykańską agencję CISA. To istotne, bo oznacza to, że zagrożenie nie jest już wyłącznie teoretyczne — zostało potwierdzone jako aktywnie wykorzystywane.

W przypadku ISE federalne agencje cywilne w USA muszą zastosować poprawki w trybie priorytetowym. Dla Secure Email Gateway reakcja również jest pilna, bo atak może prowadzić do pełnego przejęcia urządzenia po stronie infrastruktury pocztowej.

Co powinni zrobić administratorzy

Cisco zaleca natychmiastowe działania obronne i analizę śladów potencjalnego włamania. W przypadku Secure Email Gateway należy sprawdzić m.in.:

• mail_logs pod kątem podejrzanych instrukcji SQL,
• logi wszystkich węzłów w klastrze, jeśli urządzenie działa w takim układzie,
• ruch sieciowy i logi zapory poza samym urządzeniem,
• nieoczekiwane wysyłki do zewnętrznych adresów IP lub pobieranie danych z podejrzanych adresów.

Cisco podało też przykład wyszukiwania w logach:

cisco-esa> grep -i "COPY.*TO PROGRAM" [IronPort Text Mail Logs Log name - Default: mail_logs]

Pojawienie się wyniku może wskazywać na złośliwą aktywność.

W przypadku ISE administratorzy powinni przejrzeć access.log pod kątem podejrzanych nazw użytkowników na każdym węźle wdrożenia. Jeśli istnieje podejrzenie kompromitacji, Cisco zaleca nawet ponowne zainstalowanie podatnych węzłów i odtworzenie konfiguracji z kopii zapasowej.

Dlaczego sytuacja jest szczególnie groźna

W obu podatnościach skuteczny atak może zakończyć się uzyskaniem root command execution, czyli pełnej kontroli nad urządzeniem. To otwiera drogę nie tylko do sabotażu, ale też do:

• ukrycia śladów włamania,
• przechwytywania poczty lub danych uwierzytelniających,
• dalszego ruchu wewnątrz sieci w przypadku wdrożeń on-premises.

Wersje chmurowe są w tym scenariuszu nieco mniej ryzykowne dla całej sieci organizacji, ale nadal pozostają celem, którego kompromitacji nie wolno lekceważyć.

Co wiemy na pewno

Na ten moment wiadomo, że:

• obie podatności są aktywne eksploatowane,
• dotyczą kluczowych produktów Cisco używanych do ochrony poczty i kontroli dostępu do sieci,
• atak może nie wymagać żadnych danych logowania,
• jedyną skuteczną ochroną jest szybkie wdrożenie poprawek i sprawdzenie logów pod kątem śladów kompromitacji.

Dla administratorów to sygnał, że łatki trzeba wdrożyć natychmiast, a nie odkładać je na kolejny cykl utrzymaniowy.