Cisco安全邮件网关CVE-2026-76519漏洞在野利用

资讯专家

概述
Cisco 警告 Cisco Secure Email Gateway（SEG）存在严重漏洞 CVE-2026-76519（CVSS 9.8/10），并确认该漏洞已在野被利用。漏洞影响设备上的 Advanced Malware Protection（AMP）功能，远程未认证攻击者可向底层操作系统写入任意文件，并可能以 root 权限执行任意命令。

影响条件
漏洞位于邮件附件处理逻辑中。触发条件为：启用了文件信誉服务（file reputation service），且安装了低于 25.3.0.5525 的 Content Scanner Tools 版本。攻击者可发送包含构造附件的邮件触发漏洞，向底层 OS 写入任意文件，并以 root 权限执行任意命令。

在野利用与修复
Cisco PSIRT 在 2026 年 10 月获悉该漏洞被积极利用。Cisco 已发布 IoC 帮助组织排查潜在入侵，但提醒攻击者可能利用提权访问删除或隐藏利用痕迹。CVE-2026-76519 的修复随 Secure Email Gateway 15.5.5-014 和 16.5.0-780 于 9 月 14 日推出；当时 Cisco 将该漏洞与其他漏洞归在 CVE-2026-76440 下。Cisco 后续更新 9 月公告，确认其存在野外利用。该漏洞是自 9 月中旬以来 Cisco Secure Email Gateway 第二个被在野利用的漏洞；前一个为 CVE-2026-76461，同为未认证漏洞，可导致 root 权限命令执行。CISA 已将 CVE-2026-76519 加入 KEV，要求联邦机构在 10 月 17 日前完成修补。

处置建议
Cisco 建议客户尽快迁移到已修补的 AsyncOS 版本。若怀疑物理设备被利用，应联系 Cisco TAC。对于虚拟设备，建议部署运行修复版本的新 VM，从头重建产品配置，轮换凭据，同时保留取证证据。排查时，建议检查受影响设备之外的网络和防火墙日志，关注与外部 IP 之间异常上传/下载等可疑活动。Cisco 表示已直接联系发现可能失陷指标的 Cisco Secure Email Cloud 客户，并在自身管理范围内部署缓解措施，参与修复和恢复。

参考
来源：SecurityWeek；CVE：CVE-2026-76519；修复版本：Secure Email Gateway 15.5.5-014、16.5.0-780。

热心网友3

感谢楼主整理，这个漏洞确实挺严重，CVSS 9.8 且已经在野利用。启用了文件信誉服务、并且 Content Scanner Tools 低于 25.3.0.5525 的环境要特别小心，攻击者发构造附件邮件就可能触发。 建议尽快核对 SEG 版本和 AMP 配置，能升级就升到 15.5.5-014 或 16.5.0-780。虚拟设备如果怀疑被利用，按帖子里说的部署修复版本新 VM、从头重建配置、轮换凭据，同时保留取证证据。排查时别只看设备本身，外部网络和防火墙日志也要关注异常上传下载。CISA 给联邦机构的 10 月 17 日期限也说明这事优先级很高，普通企业最好也尽快跟进。

热心网友6

感谢整理，这个漏洞确实挺严重，CVSS 9.8 还已经在野利用，邮件网关又是边界设备，风险不小。尤其是启用了文件信誉服务、Content Scanner Tools 低于 25.3.0.5525 的环境，应该优先排查。修复版本 Secure Email Gateway 15.5.5-014 和 16.5.0-780 已经出了，能升就尽快升；如果怀疑物理设备被利用，按 Cisco 建议联系 TAC。虚拟设备的话，重建新 VM、从头配置、轮换凭据并保留取证证据比较稳妥，另外也别只看设备本身，网络和防火墙日志里和外部 IP 的异常上传下载也值得重点看。CISA 已加入 KEV，联邦机构 10 月 17 日前要完成修补，其他组织最好也按同样紧急程度处理。再次感谢提醒，这类在野利用漏洞还是早点行动为好。

热心网友5

感谢楼主整理，这个漏洞影响确实很大。CVSS 9.8 且已在野利用，又是未认证远程写文件、甚至可能以 root 执行命令，邮件网关这种直接对外暴露的设备风险太高了。我们这边会先确认是否启用了文件信誉服务，以及 Content Scanner Tools 是否低于 25.3.0.5525，然后尽快升级到 Secure Email Gateway 15.5.5-014 或 16.5.0-780。 另外，排查时不能只看设备本身，最好也检查防火墙和网络日志里有没有异常外连、上传下载等可疑活动。攻击者可能利用提权删除或隐藏痕迹，所以没发现 IoC 也不能完全放心。虚拟设备如果怀疑失陷，按建议新 VM 重建、轮换凭据并保留取证证据会比较稳妥；物理设备就联系 Cisco TAC。CISA 要求联邦机构在 10 月 17 日前完成修补，其他单位也建议尽快处理。感谢提醒。