Le 14 octobre 2026, NVD a publié CVE-2026-76519 et la CISA l'a ajoutée le même jour à son catalogue KEV, échéance au 17 octobre. Elle touche Cisco Secure Email Gateway, dans la fonction Advanced Malware Protection (AMP). Notée 9.8.
Ce qui la distingue : pas besoin d'atteindre l'interface d'administration. Il suffit d'envoyer un email.
| Champ | Valeur |
|---|---|
| CVSS 3.1 | 9.8 (CRITICAL) |
| Vecteur | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| Publication NVD | 2026-10-14 |
| Ajout CISA KEV | 2026-10-14 |
| Échéance CISA | 2026-10-17 |
| Ransomware connu | non (selon la CISA) |
Ce que fait la faille
This vulnerability is due to improper handling of email attachments when the file reputation service is enabled.
La CISA la classe en traversée de chemin relative. Quand le service de réputation de fichiers d'AMP est activé, la passerelle traite mal certaines pièces jointes. Un attaquant non authentifié envoie un email contenant une pièce jointe spécialement construite ; la passerelle l'analyse, et l'attaquant peut écrire des fichiers arbitraires et exécuter des commandes en root sur le système sous-jacent.
Pourquoi c'est grave : aucune exposition de l'interface n'est nécessaire
Sur la plupart des équipements de bordure, la consigne de base est de ne pas exposer l'interface d'administration. Elle ne sert à rien ici.
Une passerelle email existe pour recevoir des emails d'Internet. Le port SMTP est ouvert par définition, et chaque message entrant est analysé — c'est son rôle. La surface d'attaque, c'est le flux de messagerie lui-même.
Et l'ironie est complète : la faille est dans la fonction anti-malware. L'option qu'on active pour se protéger des pièces jointes malveillantes est celle qui en traite une de façon dangereuse.
Une fois root sur la passerelle, l'attaquant est placé sur le chemin de tout le courrier entrant et sortant de l'organisation : lecture des messages, modification, détournement, et un point d'appui dans le réseau interne.
C'est la deuxième fois en un mois que Secure Email Gateway arrive au KEV (la précédente le 14 septembre) : voir CVE-2026-76460 et 76461 sur Cisco ISE et Secure Email Gateway.
Versions
NVD liste deux bornes AsyncOS : 15.5.5-014 et 16.5.0-780. Ce sont des bornes de configuration CPE, pas forcément les versions corrigées à installer. Reporte-toi à l'avis de sécurité Cisco pour la version de correctif propre à ta branche AsyncOS.
Sont concernées les passerelles où AMP et le service de réputation de fichiers sont activés. Vérifie ta configuration plutôt que de supposer.
Détection
- Processus inattendus ou connexions sortantes inhabituelles depuis la passerelle
- Fichiers modifiés sur le système hors des mises à jour Cisco
- Comptes ou clés d'accès ajoutés sans changement documenté
- Pièces jointes traitées par AMP associées à des erreurs ou des redémarrages de services dans les journaux de la passerelle
- Règles de routage ou de filtrage du courrier modifiées sans raison connue
Mitigation
- Appliquer la mise à jour AsyncOS indiquée par Cisco pour ta branche, avant l'échéance du 17 octobre.
- Vérifier si AMP et la réputation de fichiers sont activés. Si Cisco documente une mesure de contournement liée à cette fonction, évalue-la en attendant le correctif — en sachant que tu perds une couche de protection anti-malware.
- Ne pas compter sur la restriction de l'interface d'administration : elle reste une bonne pratique, mais ne bloque pas cette attaque.
- En cas de doute : traiter la passerelle comme compromise, suivre la procédure de triage forensique demandée par la CISA, revoir les règles de messagerie et faire tourner les identifiants et certificats qu'elle détient.
Pourquoi surveiller vos passerelles de messagerie
Une passerelle email est exposée par nature, et l'on ne peut pas la cacher derrière un VPN. Quand une CVE exploitée s'y déclenche par un simple message, le délai de correction est la seule variable qui compte.
Avec cveo.tech, inventorie tes passerelles de messagerie avec leur version AsyncOS exacte, et reçois une alerte dès qu'une CVE au CISA KEV les concerne.