Cisco Secure Email Gateway : une faille critique déjà exploitée permet une prise de contrôle root

Cisco a confirmé, dans un bulletin de sécurité publié cette semaine, l'exploitation active de la faille CVE-2026-76461 sur son logiciel AsyncOS pour Secure Email Gateway, notée 9,8 sur 10 sur l'échelle CVSS. Elle permet à un attaquant distant et non authentifié d'exécuter des commandes avec les privilèges root en envoyant un simple e-mail piégé.

Pourquoi une passerelle de messagerie est une cible de premier choix

Une passerelle de messagerie sécurisée comme le Secure Email Gateway de Cisco, anciennement commercialisé sous le nom IronPort, se place en amont du serveur de messagerie d'une organisation. Tous les messages entrants et sortants transitent par elle pour y être analysés, filtrés et éventuellement mis en quarantaine. Cette position lui confère deux caractéristiques qui intéressent particulièrement les attaquants.

D'abord, l'appliance voit passer l'intégralité du courrier de l'entreprise, y compris les échanges internes sensibles, les notifications de réinitialisation de mot de passe et les pièces jointes confidentielles. Ensuite, elle occupe une position réseau de confiance : elle est exposée à Internet par nécessité, puisqu'elle doit recevoir le courrier du monde entier, tout en disposant d'un accès vers l'intérieur du réseau. Un attaquant qui obtient les droits root sur une telle machine ne se contente donc pas de lire des e-mails, il dispose d'un point d'appui pour progresser latéralement dans l'infrastructure.

Comment la faille est-elle exploitée ?

La vulnérabilité provient d'une validation insuffisante dans la logique d'analyse des e-mails entrants. Concrètement, certains champs du message sont transmis à une requête de base de données sans être correctement neutralisés au préalable. Un attaquant compose alors un message contenant des instructions SQL malveillantes ; une fois ce message traité par la passerelle, il déclenche l'exécution de requêtes SQL arbitraires, puis de commandes système. Cisco explique dans son bulletin :

Une exploitation réussie peut permettre à l'attaquant d'exécuter des instructions SQL arbitraires, menant à une exécution de commandes avec les privilèges root.

Ce mode opératoire explique la sévérité de la note attribuée. L'attaque ne réclame ni identifiants, ni interaction d'un utilisateur, ni accès préalable au réseau interne : il suffit d'envoyer un courriel à une adresse de l'organisation visée pour déclencher la chaîne. Il n'existe donc aucune barrière humaine, aucun clic à obtenir, aucune pièce jointe à faire ouvrir. C'est une différence de nature avec les campagnes d'hameçonnage classiques, qui reposent sur une erreur de l'utilisateur.

Le fournisseur précise que toutes les versions du logiciel sont concernées, quelle que soit la configuration de l'appliance, physique ou virtuelle. Il n'existe donc pas de réglage particulier qui mettrait un équipement à l'abri.

Qui est concerné, et depuis quand ?

Selon Cisco, ses équipes de sécurité (PSIRT, Product Security Incident Response Team) ont eu connaissance de cette exploitation active en septembre 2026. L'entreprise indique avoir contacté directement les clients dont les équipements montraient des signes de compromission, sans communiquer publiquement l'ampleur totale des attaques observées.

Plusieurs éléments restent à ce jour inconnus : le nombre d'organisations touchées, l'identité ou la motivation des attaquants, et la date exacte des premières exploitations, qui pourrait être antérieure au moment où Cisco en a pris connaissance. Rien n'indique non plus publiquement si des données ont été exfiltrées chez les victimes identifiées. Il s'agit donc, à ce stade, d'une faille dont l'exploitation est confirmée, mais dont la portée réelle n'est pas mesurée.

L'agence américaine de cybersécurité CISA (Cybersecurity and Infrastructure Security Agency) a ajouté la vulnérabilité à son catalogue des failles activement exploitées (Known Exploited Vulnerabilities) et a imposé aux agences fédérales américaines un délai de trois jours pour appliquer le correctif, soit jusqu'au 17 septembre 2026. Ce délai mérite d'être souligné : les directives de la CISA accordent habituellement trois semaines aux administrations pour corriger une faille inscrite à ce catalogue. Un délai ramené à trois jours signale que l'agence considère l'exploitation comme immédiate et à grande échelle.

Que faire ?

Cisco a publié des versions corrigées pour toutes les branches concernées : la 15.5.5-0141 pour les versions 15.5 et antérieures, la 16.0.4-302 pour la branche 16.0, et la 16.5.0-780 pour la 16.5. Une mise à jour immédiate est recommandée, sans attendre une preuve de compromission, étant donné la sévérité de la faille et son exploitation déjà en cours.

Cette recommandation a une conséquence pratique importante pour les équipes de sécurité : un équipement dont les journaux locaux paraissent propres ne doit pas être considéré comme sain pour autant. Les traces à rechercher se situent en amont, dans les journaux de pare-feu et de flux réseau : connexions sortantes inhabituelles depuis la passerelle, trafic vers des adresses inconnues, ou tentatives de connexion vers d'autres machines internes depuis une appliance qui n'a normalement aucune raison de les initier.

Cette faille s'ajoute à une liste déjà longue de vulnérabilités critiques exploitées ces dernières semaines, à l'image des failles VPN Check Point corrigées en urgence ou de la faille GitLab notée 10 sur 10. Le point commun de ces incidents est qu'ils visent des équipements de sécurité ou d'infrastructure, c'est-à-dire précisément les machines censées protéger le reste du réseau.

Source

Informations recoupées à partir des articles de BleepingComputer et de The Hacker News.