Cisco : une faille critique des passerelles e-mail Secure Email Gateway est déjà exploitée
Un simple e-mail piégé peut suffire à prendre le contrôle d'une passerelle Cisco Secure Email Gateway. Cisco confirme des attaques en cours. Le correctif existe depuis septembre, mais il faut vérifier qu'il est bien installé.
Si votre entreprise filtre ses e-mails avec une appliance Cisco Secure Email Gateway, lisez ce qui suit. Le 14 octobre 2026, Cisco a publié un avis sur une faille critique, notée 9,8 sur 10, et confirme que des attaques sont déjà en cours.
Un e-mail suffit
La faille s’appelle CVE-2026-76519. Elle touche la passerelle qui trie le courrier d’une entreprise avant qu’il n’arrive dans les boîtes de ses salariés. C’est une cible de choix : tout le courrier passe par là.
Le scénario est simple. Un attaquant sans identifiant ni compte envoie un e-mail avec une pièce jointe spécialement fabriquée. Si l’appliance est vulnérable, la pièce jointe permet d’écrire des fichiers sur le système. Le pirate peut ensuite exécuter des commandes avec les droits les plus élevés (« root »). Autrement dit, il prend la main sur l’appareil.
Cisco a découvert la faille lors de ses propres scans de sécurité internes. Elle a eu connaissance d’attaques actives en octobre 2026. L’éditeur ne dit pas combien d’appareils sont visés ni qui est derrière.
Qui est concerné ?
Deux conditions doivent être réunies :
- le service File Reputation (lié à la protection antimalware) est activé et rattaché à une politique de messagerie ;
- les Content Scanner Tools, le composant qui analyse les pièces jointes, sont dans une version antérieure à 25.3.0.5525.
Les passerelles physiques et virtuelles sont concernées. Les produits Secure Email and Web Manager et Secure Web Appliance ne le sont pas. Les clients de Secure Email Cloud n’ont rien à faire : selon Cisco, le correctif leur a déjà été appliqué.
Que faire ?
Le correctif est disponible depuis le 14 septembre 2026. Beaucoup d’équipes ne l’ont peut-être pas installé, car il était présenté comme un simple durcissement. Voici les versions à viser :
- AsyncOS 15.5 : passer en 15.5.5-014 ;
- AsyncOS 16.5 : passer en 16.5.0-780 ;
- AsyncOS 16.0 : aucun correctif, il faut migrer vers une version corrigée ;
- Content Scanner Tools : passer en 25.3.0.5525 ou plus récent. Cette mise à jour ne demande ni mise à niveau du système, ni redémarrage.
Il n’existe aucun contournement. Il faut donc mettre à jour.
Ensuite, vérifiez que l’appareil n’a pas déjà été visé. Cisco propose de chercher la mention « System Security » dans les journaux système. Attention : un résultat « aucune compromission » ne suffit pas, car un pirate qui a les droits root peut effacer ses traces. Regardez aussi les journaux du pare-feu à la recherche d’envois de données vers des adresses inconnues.
En cas de compromission sur une appliance virtuelle, Cisco conseille de conserver les preuves, de déployer une nouvelle machine sur une version corrigée, de la configurer sans réimporter l’ancienne configuration, puis de changer tous les identifiants et clés.
Un contexte inquiétant
Ce n’est pas la première alerte sur ces appareils. En septembre, une injection SQL (CVE-2026-76461) était déjà exploitée et ajoutée au catalogue des failles exploitées de la CISA. En décembre 2025, une autre faille avait été utilisée par un groupe lié à la Chine. Selon The Hacker News, c’est la troisième faille root confirmée exploitée sur ces appliances depuis décembre.