Η Cisco Secure Email Gateway βρίσκεται στο επίκεντρο μιας κρίσιμης υπόθεσης, καθώς το CVE-2026-76461 αξιοποιείται ενεργά για εκτέλεση εντολών με δικαιώματα root. Η ευπάθεια δεν απαιτεί πιστοποίηση και μπορεί να ενεργοποιηθεί μέσα από ειδικά διαμορφωμένο μήνυμα ηλεκτρονικού ταχυδρομείου.
Η Cisco δημοσίευσε την αρχική ενημέρωση ασφαλείας στις 14 Σεπτεμβρίου και την επικαιροποίησε τρεις ημέρες αργότερα. Η εταιρεία αναφέρει ότι η ομάδα Product Security Incident Response Team (PSIRT) γνώριζε για ενεργή εκμετάλλευση από τον Σεπτέμβριο, ενώ δεν υπάρχει διαθέσιμη παράκαμψη.
Δείτε επίσης: Cisco ISE: Κρίσιμη ευπάθεια υπό ενεργή εκμετάλλευση
Η ασφάλεια του Cisco Secure Email Gateway
Το CVE-2026-76461 είναι ευπάθεια SQL injection στη λογική ανάλυσης μηνυμάτων του AsyncOS. Σύμφωνα με την καταχώριση του NVD, έχει βαθμολογία CVSS 9.8 και χαρακτηρίζεται κρίσιμο. Η αξιολόγηση της Cisco χρησιμοποιεί τα χαρακτηριστικά AV:N/AC:L/PR:N/UI:N, δηλαδή δικτυακή επίθεση χαμηλής πολυπλοκότητας χωρίς προνόμια ή αλληλεπίδραση χρήστη.
Ένας απομακρυσμένος εισβολέας μπορεί να στείλει ειδικά διαμορφωμένο μήνυμα μέσω μιας ευάλωτης συσκευής, ενσωματώνοντας κακόβουλες SQL εντολές. Η ανεπαρκής επικύρωση της εισόδου επιτρέπει την εκτέλεση αυθαίρετων ερωτημάτων και, τελικά, εντολών στο υποκείμενο λειτουργικό σύστημα με δικαιώματα root.
Η επίθεση δεν προϋποθέτει πρόσβαση στη διαχειριστική διεπαφή, ούτε έγκυρο λογαριασμό. Αυτό αυξάνει σημαντικά τον κίνδυνο για συσκευές που δέχονται εξωτερική αλληλογραφία, καθώς το κακόβουλο μήνυμα ακολουθεί την ίδια διαδρομή με ένα συνηθισμένο email. Η Cisco επισημαίνει ότι επηρεάζονται τόσο οι φυσικές όσο και οι εικονικές συσκευές, ανεξάρτητα από τη διαμόρφωσή τους.
Ενεργή εκμετάλλευση σε συσκευές ηλεκτρονικού ταχυδρομείου
Η αναφορά ενεργής εκμετάλλευσης διαφοροποιεί το περιστατικό από μια τυπική προληπτική ενημέρωση. Η Cisco αναφέρει ότι εντόπισε κακόβουλη δραστηριότητα σε συσκευές του Secure Email Cloud και επικοινώνησε απευθείας με πελάτες όταν βρέθηκαν ενδείξεις πιθανής παραβίασης. Δεν έχει δημοσιοποιήσει την έκταση των επιθέσεων ή την ταυτότητα των δραστών.
Η ανεξάρτητη κάλυψη του The Hacker News επιβεβαιώνει ότι το ζήτημα έχει ενταχθεί στον κατάλογο Known Exploited Vulnerabilities της CISA. Η ένταξη δεν αποτελεί από μόνη της τεχνική απόδειξη για κάθε επιμέρους επίθεση, δείχνει όμως ότι οι οργανισμοί πρέπει να δώσουν προτεραιότητα στην αποκατάσταση και στον έλεγχο για προηγούμενη κακόβουλη δραστηριότητα.
Δείτε επίσης: Κρίσιμη ευπάθεια στο WSO2 API Manager υπό ενεργή εκμετάλλευση
Διορθωμένες εκδόσεις και έλεγχος αρχείων καταγραφής
Για το AsyncOS 15.5 και παλαιότερες εκδόσεις, η Cisco διαθέτει τη διόρθωση 15.5.5-014. Για τον κλάδο 16.0 απαιτείται η έκδοση 16.0.4-302, ενώ για τον 16.5 η 16.5.0-780. Η εταιρεία συστήνει σε όσους χρησιμοποιούν παλαιότερο κλάδο να μεταβούν στην πιο πρόσφατη υποστηριζόμενη έκδοση.
Οι διαχειριστές πρέπει να εξετάσουν τα mail_logs σε κάθε συσκευή, ακόμη και όταν το Secure Email Gateway λειτουργεί σε συστάδα. Η Cisco προτείνει αναζήτηση για ύποπτες SQL εντολές, συμπεριλαμβανομένης της ένδειξης “COPY.*TO PROGRAM”. Η παρουσία της δεν αποδεικνύει μόνη της επιτυχή παραβίαση, αποτελεί όμως ένδειξη που χρειάζεται άμεση διερεύνηση.
Επειδή ένας εισβολέας με δικαιώματα root μπορεί να διαγράψει ή να αποκρύψει ίχνη, ο έλεγχος δεν πρέπει να περιοριστεί στη συσκευή. Η τεχνική ομάδα του SecNews προτείνει αντιπαραβολή με αρχεία καταγραφής από τείχη προστασίας, διακομιστές δικτύου και εξωτερικό σύστημα συλλογής συμβάντων. Ιδιαίτερη προσοχή χρειάζονται απρόσμενες μεταφορτώσεις προς άγνωστες διευθύνσεις και ασυνήθιστες λήψεις από το διαδίκτυο.
Αν εντοπιστούν ενδείξεις εκμετάλλευσης, η εγκατάσταση της διόρθωσης πρέπει να συνοδευτεί από διαδικασία αντιμετώπισης περιστατικού. Η απομόνωση της συσκευής, η διατήρηση αντιγράφων των εξωτερικών αρχείων καταγραφής και η επανεγκατάσταση από αξιόπιστη εικόνα μπορεί να είναι απαραίτητες, ανάλογα με τα ευρήματα της έρευνας.
Δείτε επίσης: Microsoft zero-day: Δύο ευπάθειες στα Windows υπό ενεργή εκμετάλλευση
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Άμεση προτεραιότητα για το CVE-2026-76461
Η απουσία παράκαμψης σημαίνει ότι τα φίλτρα αλληλογραφίας ή οι κανόνες δικτύου δεν πρέπει να θεωρηθούν επαρκής προστασία. Οι οργανισμοί που χρησιμοποιούν Cisco Secure Email Gateway οφείλουν να καταγράψουν την έκδοση AsyncOS, να προγραμματίσουν άμεσα την αντίστοιχη αναβάθμιση και να ελέγξουν τα αρχεία καταγραφής πριν και μετά την αλλαγή.
Παράλληλα, οι ομάδες ασφάλειας χρειάζεται να επιβεβαιώσουν αν οι συσκευές επικοινωνούν με εξωτερικό σύστημα καταγραφής και αν τα δεδομένα διατηρούνται για αρκετό διάστημα. Η αποστολή των συμβάντων εκτός της συσκευής περιορίζει τον κίνδυνο απώλειας στοιχείων μετά από πιθανή απόκτηση προνομιακής πρόσβασης. Η καταγραφή της ακριβούς έκδοσης, της ώρας αναβάθμισης και των σχετικών ευρημάτων διευκολύνει τόσο την τεχνική διερεύνηση όσο και την ενημέρωση της διοίκησης.
Το CVE-2026-76461 συνδυάζει μηδενικές απαιτήσεις πρόσβασης, ενεργή εκμετάλλευση και δυνατότητα εκτέλεσης εντολών ως root. Για αυτό η διόρθωση δεν πρέπει να περιμένει τον επόμενο κύκλο συντήρησης, ιδιαίτερα σε πύλες που επεξεργάζονται μηνύματα από το διαδίκτυο.
