أكدت Cisco في نشرتها الأمنية الصادرة في 14 أكتوبر 2026 رصد استغلال فعلي لثغرة حرجة في بوابة البريد Cisco Secure Email Gateway، (CVE-2026-76519 بتقييم CVSS عند 9.8)، تتيح لمهاجم عن بعد دون مصادقة كتابة ملفات على نظام التشغيل وتنفيذ أوامر بصلاحيات root.
يكمن الخلل في ميزة الحماية من البرمجيات الخبيثة المتقدمة (AMP)، وسببه معالجة غير سليمة لمرفقات البريد حين تكون خدمة File Reputation مفعلة. يكفي أن يرسل المهاجم رسالة تحمل مرفقاً مصمماً عبر الجهاز المتأثر، دون اشتراط فتح المستلم المرفق أو النقر على أي رابط.
تصيب الثغرة الأجهزة الفعلية والافتراضية العاملة بنظام AsyncOS إذا تحقق شرطان: تفعيل خدمة File Reputation وربطها بسياسة بريد، وأن يكون إصدار Content Scanner Tools أقدم من 25.3.0.5525. ولا تتأثر أنظمة Secure Email and Web Manager وSecure Web Appliance. وتقول Cisco إن الثغرة اكتشفت خلال فحص أمني داخلي، وإن فريق الاستجابة لحوادث أمن منتجاتها علم بالاستغلال الفعلي في أكتوبر، ولم تذكر النشرة الفاعلين ولا عدد الأجهزة المخترقة.
لا يتوفر أي حل مؤقت للثغرة. بينما تتمثل الإصدارات الآمنة في AsyncOS 15.5.5-014 و16.5.0-780، حيث تنصح Cisco من يعمل بإصدار أقدم من 16.5 بالانتقال إلى 16.5.0-780، ومن يعمل بالإصدار 16.0 بالترقية إلى إصدار آمن. يتوفر الإصلاح كذلك عبر تحديث Content Scanner Tools إلى 25.3.0.5525 أو أحدث، دون الحاجة لترقية النظام بالكامل أو إعادة التشغيل، ويُنفذ عبر الأمر contentscannerupdate لمن عطل التحديث التلقائي. أما عملاء Secure Email Cloud Gateway فلا يلزمهم أي إجراء، نظراً لنشر Cisco الحزمة المصلحة في بنيتها السحابية.
وتحذر Cisco من أن صلاحيات root تتيح للمهاجم إخفاء أدلة الاختراق أو حذفها. وتوصي بفحص ملف system_logs بحثاً عن رسائل System Security على كل جهاز في العنقود، ومراجعة سجلات الجدار الناري والشبكة خارج الجهاز بحثاً عن عمليات رفع غير متوقعة إلى عناوين خارجية أو تنزيل من عناوين مشبوهة.
وفي الأجهزة الافتراضية المشتبه باختراقها توصي Cisco بحفظ الأدلة قبل أي ترقية لأن ترقية جهاز مخترق تتلف البيانات الجنائية، ثم نشر جهاز افتراضي جديد بإصدار مصلح وبناء الإعدادات من جديد وتجديد بيانات الاعتماد. وتضيف أن مفاتيح SSH الخاصة بالتواصل بين أعضاء العنقود قد تسرق من جهاز مخترق، فتوصي بإعادة كل عضو في عنقود يضم جهازاً مخترقاً إلى إعداد آمن. وفي الأجهزة الفعلية تدعو إلى التواصل مع مركز المساعدة التقنية TAC. وتقول Cisco إنها تواصلت مباشرة مع عملاء Secure Email Cloud الذين رصدت لديهم مؤشرات اختراق محتمل، وتعمل معهم على المعالجة والاستعادة.
وأدرجت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) الثغرة في كتالوج الثغرات المستغلة المعروفة في 14 أكتوبر، وحددت 17 أكتوبر موعداً للوكالات الاتحادية لتطبيق التدابير، وذكرت أن استخدامها في حملات الفدية غير معروف. ووصفتها في الكتالوج بأنها تجاوز نسبي للمسار (CWE-23)، ولا يزال تحليلها في قاعدة NVD قيد الإنجاز.
يُعد هذا الإدراج الثاني لثغرة تتيح تنفيذ أوامر بصلاحيات root في البوابات ذاتها خلال شهر واحد، عقب ثغرة حقن SQL المعرفة برمز CVE-2026-76461 والتي أدرجتها CISA في 14 سبتمبر وعالجتها Cisco بعد رصد استغلالها الفعلي.
