Contexte de la vulnérabilité

Cisco a publié une alerte concernant une faille critique de l'AsyncOS Software utilisé par Cisco Secure Email Gateway. Identifiée sous le numéro CVE‑2026‑76461, elle obtient un score CVSS de 9,8/10, ce qui la classe parmi les vulnérabilités les plus graves. La faiblesse réside dans une validation insuffisante du parsing des courriels, permettant à un attaquant non authentifié d’injecter des requêtes SQL malveillantes. La faille touche à la fois les appliances physiques et virtuelles, sans distinction de configuration, mais n’affecte pas les produits adjacents comme Secure Email Web Manager ou Secure Web Appliance.

Le dispositif a été ajouté au catalogue KEV (Known Exploited Vulnerabilities) du CISA, imposant aux agences fédérales américaines d’appliquer les correctifs avant le 17 septembre 2026. Cette inclusion confirme que la vulnérabilité est déjà exploitée en production, comme le signale Cisco.

Mécanisme d’exploitation

L’exploitation repose sur l’envoi d’un courriel spécialement façonné contenant des instructions SQL. Lors du traitement du message, le moteur de parsing exécute ces instructions sans les filtrer, ce qui conduit à l’injection de commandes système avec les privilèges root du système d’exploitation sous‑jacent. L’exemple fourni par Cisco indique que la chaîne COPY … TO PROGRAM déclenche l’exécution directe d’un programme.

Un extrait de la commande de détection recommandée est le suivant :

cisco-esa> grep -i "COPY.*TO PROGRAM" mail_logs

Cette requête recherche dans les journaux mail_logs toute occurrence de la séquence suspecte, chaque correspondance pouvant signaler une tentative d’injection. En environnement cluster, chaque nœud doit être inspecté, car l’attaque peut se propager entre les appliances synchronisées.

Correctifs et recommandations

Cisco a publié des correctifs pour les versions suivantes d’AsyncOS :

  • 15.5 → 15.5.5‑0141
  • 16.0 → 16.0.4‑302
  • 16.5 → 16.5.0‑780

Il n’existe aucun contournement fonctionnel autre que la mise à jour vers l’une de ces versions. Cisco conseille également de croiser les journaux du dispositif avec ceux du pare‑feu et du réseau afin de détecter d’éventuels transferts de données vers des IP externes, signe d’une compromission post‑exploitation. La suppression ou la falsification des traces d’activité est attendue, du fait du niveau d’accès obtenu.

Implications et suivi

Une fois la commande exécutée avec les privilèges root, l’attaquant peut installer des backdoors, modifier les règles de filtrage ou exfiltrer des courriels sensibles. La capacité à masquer les indicateurs de compromission rend la remédiation difficile, surtout dans des environnements où les logs sont centralisés uniquement sur l’appareil compromis.

Le suivi par le CISA impose un calendrier strict, mais les organisations hors du secteur public doivent également appliquer les correctifs rapidement pour éviter d’être la cible de groupes d’acteurs qui exploitent déjà la faille. La visibilité sur l’ampleur de l’incident reste limitée, Cisco n’ayant pas communiqué le nombre d’appareils affectés.