Cisco Secure Email Gateway : une faille critique déjà exploitée permet une prise de contrôle root

Cisco a confirmé, dans un bulletin de sécurité publié cette semaine, l'exploitation active de la faille CVE-2026-76461 sur son logiciel AsyncOS pour Secure Email Gateway, notée 9,8 sur 10 sur l'échelle CVSS. Elle permet à un attaquant distant et non authentifié d'exécuter des commandes avec les privilèges root en envoyant un simple e-mail piégé.

Comment la faille est-elle exploitée ?

La vulnérabilité provient d'une validation insuffisante dans la logique d'analyse des e-mails entrants. Un attaquant compose un message contenant des instructions SQL malveillantes ; une fois traité par la passerelle, ce message déclenche l'exécution de requêtes SQL arbitraires. Cisco explique dans son bulletin :

Une exploitation réussie peut permettre à l'attaquant d'exécuter des instructions SQL arbitraires, menant à une exécution de commandes avec les privilèges root.

Le fournisseur précise que toutes les versions du logiciel sont concernées, quelle que soit la configuration de l'appliance, physique ou virtuelle.

Qui est concerné, et depuis quand ?

Selon Cisco, ses équipes de sécurité (PSIRT, Product Security Incident Response Team) ont eu connaissance de cette exploitation active en septembre 2026. L'entreprise indique avoir contacté directement les clients dont les équipements montraient des signes de compromission, sans communiquer publiquement l'ampleur totale des attaques observées.

L'agence américaine de cybersécurité CISA (Cybersecurity and Infrastructure Security Agency) a ajouté la vulnérabilité à son catalogue des failles activement exploitées (Known Exploited Vulnerabilities) et a imposé aux agences fédérales américaines un délai de trois jours pour appliquer le correctif, soit jusqu'au 17 septembre 2026.

Que faire ?

Cisco a publié des versions corrigées pour toutes les branches concernées : la 15.5.5-0141 pour les versions 15.5 et antérieures, la 16.0.4-302 pour la branche 16.0, et la 16.5.0-780 pour la 16.5. Une mise à jour immédiate est recommandée, sans attendre une preuve de compromission, étant donné la sévérité de la faille et son exploitation déjà en cours.

Cette faille s'ajoute à une liste déjà longue de vulnérabilités critiques exploitées ces dernières semaines, à l'image des failles VPN Check Point corrigées en urgence.

Source

Informations recoupées à partir des articles de BleepingComputer et de The Hacker News.