Cisco Secure Email Gateway : une faille critique exploitée

Un e-mail piégé suffit. Cisco a publié le 14 octobre 2026 un avis de sécurité sur une vulnérabilité critique de Cisco Secure Email Gateway, sa passerelle de messagerie (anciennement Email Security Appliance). Référencée CVE-2026-76519 et notée 9,8 sur 10 au barème CVSS 3.1, elle permet à un attaquant non authentifié, à distance, d'écrire des fichiers arbitraires sur le système de l'appliance, puis d'exécuter des commandes avec les privilèges root. L'équipe de réponse aux incidents de Cisco (PSIRT) indique avoir eu connaissance d'une exploitation active ce mois-ci, et la CISA américaine a ajouté la faille à son catalogue des vulnérabilités exploitées (KEV) dès le 14 octobre.

Une pièce jointe au cœur de l'attaque

Selon Cisco, le problème se situe dans la fonction Advanced Malware Protection (AMP), plus précisément dans la réputation de fichiers (File Reputation). La passerelle traite mal certaines pièces jointes lorsque cette analyse est active : un message contenant un fichier spécialement conçu permet de déposer des fichiers à des emplacements arbitraires. L'avis classe la faille en CWE-23, une traversée de répertoire relative.

L'attaque ne demande ni compte, ni identifiants, ni interaction d'un utilisateur. C'est ce qui la rend sérieuse : par nature, une passerelle de messagerie reçoit des e-mails de n'importe qui sur Internet.

Qui est concerné

Les appliances physiques et virtuelles Secure Email Gateway sont vulnérables si deux conditions sont réunies :

• la réputation de fichiers est activée et affectée à une politique de messagerie (à vérifier dans Mail Policies > Incoming/Outgoing Mail Policies > Advanced Malware Protection) ;
• le paquet Content Scanner Tools est dans une version antérieure à 25.3.0.5525 (la commande CLI contentscannerstatus affiche la version installée).

Cisco confirme que Secure Email and Web Manager et Secure Web Appliance ne sont pas affectés.

Les correctifs à appliquer

Cisco ne propose aucun contournement. Deux voies de correction existent :

• mettre à jour Content Scanner Tools en version 25.3.0.5525 ou ultérieure, ce qui corrige la faille sans redémarrage de l'appliance ;
• mettre à jour AsyncOS : la branche 15.5 est corrigée en 15.5.5-014, la branche 16.5 en 16.5.0-780. La branche 16.0 ne reçoit pas de correctif : il faut migrer vers une version corrigée. Cisco recommande d'ailleurs à toutes les versions antérieures à 16.5 de passer en 16.5.0-780.

Désactiver la réputation de fichiers sur toutes les politiques retire l'une des conditions d'exploitation, mais cela supprime aussi une couche d'analyse antimalware. Ce n'est pas une mesure que Cisco présente comme contournement.

Que faire en priorité

Les équipes qui exploitent une passerelle Cisco devraient d'abord vérifier la version de Content Scanner Tools et l'état de la réputation de fichiers, puis appliquer le correctif sans attendre la prochaine fenêtre de maintenance. L'exploitation étant confirmée, il est prudent de rechercher des traces de compromission sur les appliances exposées : fichiers inattendus, comptes ou tâches ajoutés, connexions sortantes inhabituelles.

Les passerelles de messagerie sont devenues une cible récurrente, comme l'a montré récemment la faille critique exploitée de FortiMail. Placées en frontière du réseau et chargées de traiter des contenus non fiables, elles offrent un point d'entrée de choix. Pour organiser les mises à jour quand les alertes s'accumulent, notre méthode pour prioriser les correctifs reste valable : une faille exploitée sur un équipement exposé à Internet passe avant tout le reste.

L'avis complet porte la référence cisco-sa-esa-afw-zqYJkjxp sur le portail de sécurité de Cisco.