Le 14 octobre 2026, Cisco a publié un correctif pour CVE-2026-76519, une vulnérabilité de son produit Secure Email Gateway déjà exploitée au moment de la publication. Il s'agit d'une traversée de chemin relatif (relative path traversal) dans la fonction Advanced Malware Protection (AMP), provoquée par un traitement incorrect des pièces jointes des courriels. Un attaquant distant, sans authentification, peut envoyer un courriel porteur d'une pièce jointe fabriquée à travers un appareil non corrigé, écrire des fichiers arbitraires et exécuter des commandes avec les privilèges root. La CISA (Cybersecurity and Infrastructure Security Agency, agence américaine de cybersécurité) l'a ajoutée le même jour à son catalogue des vulnérabilités activement exploitées. Ce n'est pas la première faille exploitée sur cette gamme : Cisco avait alerté ses clients le mois précédent au sujet de CVE-2026-76461, une autre vulnérabilité d'exécution de commandes à distance dans l'analyse des courriels d'AsyncOS. Cet article détaille les conditions d'exploitation, les versions à appliquer, la méthode de vérification en ligne de commande, et le plan de recherche de compromission à conduire si l'appareil était exposé.
Ce que fait la faille, et ce qu'elle exige
La vulnérabilité se situe dans le traitement des pièces jointes par la fonction Advanced Malware Protection. Une traversée de chemin relatif signifie que l'entrée contrôlée par l'attaquant, ici un nom ou un chemin dérivé de la pièce jointe, est utilisée pour construire un chemin de fichier sans normalisation suffisante. L'écriture sort alors du répertoire prévu.
Deux conditions doivent être réunies pour que le chemin de code soit atteignable :
| Condition | Valeur vulnérable | Comment la vérifier |
|---|---|---|
| Version du moteur de scan | Content Scanner Tools antérieure à 25.3.0.5525 | Commande CLI contentscannerstatus |
| Configuration | Service File Reputation activé et affecté à une politique de messagerie | Interface d'administration, politiques de courrier entrant |
C'est la deuxième condition qui détermine la surface réelle. Un appareil dont la réputation de fichiers n'est rattachée à aucune politique de messagerie n'expose pas la fonction concernée. En pratique, cette fonction est activée par défaut dans beaucoup de déploiements, parce qu'elle est précisément ce qu'on attend d'une passerelle de messagerie.
L'exploitation est non authentifiée et à distance. Le vecteur est un courriel, c'est-à-dire exactement ce que l'appareil est conçu pour accepter : il n'y a pas de pare-feu à franchir, pas de compte à obtenir, pas de phase de reconnaissance préalable indispensable. Le privilège obtenu est root, soit le niveau le plus élevé sur l'appliance.
Les versions à appliquer
Deux jeux de numéros circulent, et ils ne disent pas la même chose.
Le correctif opérant est la mise à jour du moteur : Content Scanner Tools 25.3.0.5525 ou postérieure. C'est ce que vérifie la commande contentscannerstatus, et c'est le composant dans lequel le défaut est corrigé.
L'alerte AV26-1042 du Centre canadien pour la cybersécurité, publiée à la suite de l'avis Cisco, liste par ailleurs des seuils de version AsyncOS pour les produits concernés :
| Produit | Branche | Versions antérieures à |
|---|---|---|
| Cisco AsyncOS pour Secure Email Gateway | 15.5 | 15.5.5-014 |
| Cisco AsyncOS pour Secure Email Gateway | 16.5 | 16.5.0-780 |
| Cisco Secure Email and Web Manager | 15.5 | 15.5.5-006 |
| Cisco Secure Email and Web Manager | 16.5 | 16.5.0-429 |
Ces numéros sont des bornes de versions affectées, pas des libellés de versions correctives. Pour un parc en production, la règle de conduite est simple : vérifier la version du moteur en ligne de commande, la porter au niveau corrigé, puis aligner AsyncOS sur la branche maintenue. L'avis de l'éditeur fait foi sur le détail des trains de version.
Pourquoi cette faille mérite plus d'attention que son score
Le score CVSS n'a pas été publié par le Centre canadien, et les reprises de presse divergent. Cette absence est moins gênante qu'il n'y paraît, parce que trois faits décident à la place du score.
L'exploitation est établie. Le PSIRT (Product Security Incident Response Team) de Cisco indique avoir pris connaissance d'une exploitation active en octobre 2026, et la CISA a inscrit la vulnérabilité à son catalogue le 14 octobre 2026. Une vulnérabilité exploitée n'est plus un risque théorique à arbitrer : c'est un incident potentiel en cours.
Des clients ont été notifiés individuellement. Cisco a contacté les clients de son service managé Secure Email Cloud dont les appareils présentaient des indicateurs de compromission possible. Cela ne dit rien du volume touché, que Cisco n'a pas communiqué, mais cela dit que les indicateurs existent et qu'ils ont été observés.
La position de l'équipement amplifie l'impact. Une passerelle de messagerie se trouve en bordure de réseau, voit le courrier en clair avant les boîtes aux lettres, et jouit d'une confiance implicite pour l'émission de messages internes. L'exécution de code root y vaut plus que sur un serveur applicatif comparable.
C'est la même raison qui explique la surreprésentation des équipements de bordure dans le catalogue de la CISA, et la raison pour laquelle MITRE ATT&CK classe ce type d'accès initial sous la technique T1190, exploitation d'une application exposée au public.
Le plan de recherche de compromission
Appliquer le correctif ferme la porte. Cela ne dit pas si quelqu'un est déjà passé. Si l'appareil a été exposé avec File Reputation rattaché à une politique et un moteur antérieur à 25.3.0.5525, la recherche de compromission est la suite logique, pas une précaution facultative.
1. Les fichiers. La faille permet une écriture arbitraire. Tout fichier apparu hors des emplacements attendus sur l'appliance est à examiner, avec une attention particulière aux répertoires accessibles par le service web et au contexte du scanner de contenu. Les horodatages de création sont ici plus utiles que les sommes de contrôle, parce qu'on ne connaît pas la charge déposée.
2. Les processus et l'exécution. Le privilège obtenu étant root, toute commande lancée depuis le contexte du scanner de contenu est anormale par construction. Les journaux d'appliance qui tracent l'activité du moteur sont le premier endroit à regarder.
3. Le trafic sortant. Une passerelle de messagerie a un profil de trafic sortant prévisible : messagerie, mises à jour de l'éditeur, services de réputation, télémétrie. Une connexion vers une destination inconnue émise par l'adresse de l'appliance se repère dans les journaux de pare-feu même sans journalisation fine sur l'appareil lui-même. C'est souvent le signal le plus accessible, parce qu'il est collecté ailleurs que sur le système potentiellement compromis.
4. Le flux de courrier lui-même. Si un attaquant a obtenu la lecture du flux, la question suivante n'est pas technique : quelles données ont transité pendant la fenêtre d'exposition, et faut-il déclencher une notification au titre de l'article 33 du RGPD. Cette question se pose en parallèle de l'investigation, pas après.
5. Les identifiants. Un accès root sur une appliance de bordure donne accès à sa configuration, donc aux comptes de service qui y sont stockés : annuaire, relais de messagerie, administration. La rotation de ces identifiants fait partie de la remédiation, pas du nettoyage ultérieur.
Ce que cette séquence apprend sur le patch management
Deux vulnérabilités exploitées en deux mois sur la même gamme de produits, c'est un motif, pas une coïncidence. Quand un attaquant trouve une faille exploitable sur une famille d'équipements, il continue à chercher dans le même code : les classes de défauts se répètent, et le travail de reconnaissance est déjà fait.
La conséquence opérationnelle est un changement de priorité. Un équipement de bordure qui a déjà reçu un correctif de vulnérabilité exploitée doit passer dans la catégorie des actifs à surveillance renforcée, avec un délai d'application des correctifs raccourci et une revue de configuration. Attendre la fenêtre de maintenance trimestrielle habituelle sur ce type d'actif, après un premier signal de ce genre, revient à parier sur l'absence du deuxième.
Le découplage entre version du moteur et version du système est l'autre leçon. Un inventaire qui ne suit que la version AsyncOS aurait déclaré l'appareil à jour tout en laissant Content Scanner Tools en version vulnérable. Les composants internes versionnés séparément, moteurs d'analyse, bases de signatures, modules tiers, doivent figurer dans l'inventaire au même titre que le système hôte.
Pour aller plus loin
La chaîne complète (accès initial sur un équipement de bordure, exécution de code privilégié, recherche de compromission) est le scénario de référence des niveaux 2 et 3 d'un centre opérationnel de sécurité. Les ressources sur la détection d'intrusion et le threat hunting détaillent la méthode ; MITRE ATT&CK donne le vocabulaire pour classer ce qu'on observe.
Sources
- Avis de sécurité Cisco pour Cisco Secure Email Gateway, 14 octobre 2026.
- Alerte AV26-1042, Centre canadien pour la cybersécurité, mise à jour 1.
- Catalogue des vulnérabilités activement exploitées de la CISA, ajout du 14 octobre 2026.
- BleepingComputer, « Cisco patches actively exploited Secure Email Gateway zero-day », 14 octobre 2026.
