בעדכון האבטחה שסיסקו פרסמה ב-14 בספטמבר מופיעה בקשה שלא רואים בכל הודעה על חולשה. לצד ההנחיה הרגילה לעדכן גרסה, החברה מבקשת ממנהלי המערכת להיכנס לשורת הפקודה של שער הדואר שלהם ולחפש בלוגים ביטוי אחד: COPY ... TO PROGRAM. כל שורה שתחזור מהחיפוש, כותבת סיסקו, עשויה להעיד על פעילות זדונית. הביטוי הקצר הזה הוא גם ההסבר השלם לאיך הודעת דואר נכנסת מסתיימת בפקודות שרצות על המכשיר בהרשאות root.

החולשה מסומנת CVE-2026-76461 ומקבלת ציון CVSS של 9.8. סיסקו מאשרת שצוות התגובה שלה לאירועי אבטחה, PSIRT, נחשף לניצול פעיל שלה בספטמבר 2026, ומציינת שהיא התגלתה בכלל תוך כדי טיפול בפנייה של לקוח לתמיכה הטכנית. CISA הוסיפה אותה באותו יום לרשימת החולשות שמנוצלות בפועל, והמועד האחרון שקבעה לגופי הממשל האמריקאיים לעדכן הוא 17 בספטמבר. שלושה ימים. מעקף אין. נעבור על מה המכשיר הזה עושה, איך הודעת דואר הופכת אצלו להרצת קוד, ולמה למי שיש חשד שנפרץ סיסקו לא מציעה לעדכן אלא לבנות את המכשיר מחדש.

למה דווקא שער הדואר

שער דואר מאובטח הוא המכשיר שיושב לפני שרת הדואר של הארגון ובודק כל הודעה שנכנסת אליו מבחוץ: מסנן ספאם, בוחן קבצים מצורפים, מריץ חתימות אנטי-וירוס ומחליט מה ממשיך הלאה לתיבות של העובדים. Cisco Secure Email Gateway, שנקרא בעבר IronPort, הוא אחד המכשירים הנפוצים בקטגוריה הזאת בארגונים גדולים, בבנקים ובגופים ממשלתיים.

התיאור הזה הוא גם תיאור מדויק של משטח התקיפה. כדי לעשות את העבודה שלו המכשיר חייב לקבל הודעות מאנשים שהוא לא מכיר, לפתוח אותן ולפרסר את כל החלקים שלהן, וכדי לקבל את ההודעות האלה הוא חייב להיות נגיש מהאינטרנט. תוקף לא צריך פרטי אימות, לא צריך שמישהו בארגון ילחץ על משהו, ולא צריך לחפש כתובת נסתרת. הוא שולח מייל לכתובת שממילא מפורסמת באתר של הארגון.

סיסקו כותבת שהחולשה קיימת במכשירים הפיזיים ובווירטואליים כאחד, ללא תלות בהגדרות. שני מוצרים אחרים באותה משפחה, Secure Email and Web Manager ו-Secure Web Appliance, אינם מושפעים. BleepingComputer מדווח שארגון Shadowserver סופר מעל 400 מכשירי Secure Email Gateway חשופים לאינטרנט, ומסייג בעצמו שהמספר אינו מבחין בין מכשירים אמיתיים לבין מלכודות דבש.

איך הודעת דואר הופכת לפקודה על המכשיר

כשהודעה נכנסת, המכשיר לא רק קורא אותה. הוא גם רושם אצלו במסד נתונים מקומי פרטים עליה. בשלב הזה הקוד שמפרסר את ההודעה לוקח תוכן שהגיע מבחוץ ובונה ממנו שאילתת מסד נתונים, בלי לבדוק מספיק אם התוכן הזה הוא נתון או הוראה. התוצאה היא שטקסט שהתוקף כתב בתוך ההודעה לא נשאר נתון בשדה, אלא הופך לחלק מהשאילתה עצמה. לטכניקה הזאת קוראים SQL Injection, וסיסקו מסווגת את החולשה תחת CWE-89.

עד כאן זאת נשמעת כמו בעיה במסד הנתונים. החלק שהופך אותה להרצת קוד בהרשאות root נמצא בדיוק בביטוי שסיסקו מבקשת לחפש בלוגים.

ל-PostgreSQL יש פקודה בשם COPY, שנועדה להעביר נתונים בין טבלה לקובץ. לפקודה הזאת יש צורה שנקראת TO PROGRAM, ולפי התיעוד הרשמי של PostgreSQL היא מריצה תוכנית על השרת ומזרימה אליה את הפלט של השאילתה. במילים אחרות, מי ששולט בשאילתה יכול לבקש ממסד הנתונים להריץ תוכנית על מערכת ההפעלה. התיעוד מדגיש שהאפשרות הזאת שמורה למשתמשי superuser או לבעלי התפקיד pg_execute_server_program, בדיוק מהסיבה הזאת.

סיסקו לא כותבת באיזה מסד נתונים המכשיר משתמש. אבל התחביר שהיא מבקשת לחפש בלוגים הוא התחביר של PostgreSQL, והעובדה שהיא מתארת את התוצאה כהרצת פקודות בהרשאות root אומרת שהחשבון שהשאילתה רצה תחתיו מחזיק בדיוק את ההרשאה הזאת. השרשרת קצרה: הודעת דואר, שאילתה, תוכנית שרצה על מערכת ההפעלה, root.

מה סיסקו מבקשת שתחפשו, ולמה זה לא מספיק

סיסקו מפרסמת בעדכון בדיקה פשוטה: לעבור על ה-mail_logs של המכשיר ולחפש בהם התאמות ל-COPY ... TO PROGRAM. אם המכשיר הוא חלק מאשכול, צריך לבדוק את הלוגים של כל אחד מחברי האשכול בנפרד. לצד הבדיקה פורסמו גם חתימות Snort במספרים 67109 ו-67110.

והנה הסייג שסיסקו מוסיפה בעצמה, והוא החשוב יותר: מכיוון שניצול מוצלח נותן לתוקף הרשאות root, התוקף יכול למחוק או להסתיר בדיוק את הסימנים האלה. לוג נקי על מכשיר שרץ בגרסה פגיעה אינו מוכיח כלום. לכן סיסקו ממליצה להצליב מול לוגים שיושבים מחוץ למכשיר, בעיקר לוגים של הרשת ושל חומת האש, ולחפש שם דברים כמו העלאות לא צפויות מהמכשיר לכתובות IP חיצוניות או הורדות ממנו. ללקוחות Cisco Secure Email Cloud שאין להם גישת CLI הבדיקה הזאת ממילא לא זמינה באופן עצמאי, וסיסקו כותבת שפנתה ישירות ללקוחות שאצלם זוהו סימנים לפעילות חשודה.

ומי שנפרץ? העדכון הוא לא התשובה

הגרסאות המתוקנות מסודרות לפי ענפים: מי שרץ על 15.5 או על גרסה מוקדמת יותר צריך להגיע ל-15.5.5-014, ענף 16.0 מתוקן ב-16.0.4-302, וענף 16.5 ב-16.5.0-780. לשני הענפים הראשונים סיסקו ממליצה לעבור ישירות ל-16.5.0-780. (כדאי להעתיק את המספרים מהעדכון של סיסקו עצמה ולא מסיקור חדשותי: בכמה אתרים הגרסאות הופיעו כ-15.5.5-0141 וכ-16.0.4-3021, כי סימן ההפניה לשוליים שבטבלה נדבק למספר.)

ההנחיה המעניינת יותר היא מה לעשות כשיש חשד שהמכשיר כבר נוצל. במכשיר וירטואלי סיסקו לא מציעה לנקות אותו. היא מבקשת לשמור קודם כול חומר פורנזי, ואז להקים מכונה וירטואלית חדשה על גרסה מתוקנת, לבנות מחדש את התצורה, ולהחליף את כל פרטי האימות והחומר הקריפטוגרפי שהותקנו על המכשיר. במכשיר פיזי ההמלצה היא לפנות ל-TAC, מרכז התמיכה של סיסקו, ולהשאיר גישה מרחוק פתוחה כדי שיוכלו לחקור. בענן סיסקו מדווחת שכבר שדרגה בעצמה את כל המכשירים ל-16.5.0-780.

זה לא ניסוח זהיר במיוחד. זאת הודאה שעל מכשיר שנתן למישהו root אי אפשר לסמוך יותר.

איפה זה יושב בתמונה הרחבה

רשימת החולשות המנוצלות בפועל של CISA מונה כרגע 1,710 רשומות. 98 מהן שייכות למוצרי סיסקו, 16 מתוכן נוספו במהלך 2026, ושתיים רק בספטמבר הזה: החולשה בשער הדואר, ולפניה חולשת עקיפת האימות ב-Cisco Secure Firewall Management Center, שעליה כתבנו לפני כמה ימים. המכנה המשותף בין השתיים הוא לא היצרן אלא הקטגוריה. שני המכשירים נמכרים כציוד אבטחה, שניהם יושבים בקצה הרשת, ושניהם רואים תעבורה עוינת לפני כל דבר אחר בארגון. זה מה שהופך אותם למטרה משתלמת, ולרוב הם גם המקומות היחידים ברשת שאין עליהם agent שמנטר מה קורה בתוכם.

יש כאן גם משהו על סוג החולשה. SQL Injection היא אחת ממחלקות הבאגים הוותיקות שיש, ובכל זאת היא ממשיכה להופיע ברשימה של CISA: שמונה חולשות שנוספו אליה במהלך 2026 מוגדרות כך, וזאת האחרונה שבהן. במוצרי תוכנה חדשים היא נדירה היום. במכשירי appliance, שנושאים איתם קוד ותיק ושכבות שנכתבו לאורך שנים, היא עדיין חיה מאוד.

מה זה אומר בפועל

אם יש בארגון שלכם Cisco Secure Email Gateway, פיזי או וירטואלי, זאת עבודה להיום ולא לרבעון הבא. CISA נתנה לגופים הפדרליים שלושה ימים, וזה מדד סביר לדחיפות גם לארגון שלא כפוף לה. עדכנו לגרסה מתוקנת, ובמקביל הריצו את הבדיקה בלוגים ואת ההצלבה מול לוגי הרשת וחומת האש שנשמרים מחוץ למכשיר. ואם עולה חשד לניצול, לכו לפי ההמלצה של סיסקו ולא לפי התחושה שעדכון סוגר את הפרשה: החלפת פרטי האימות והתעודות שיושבים על המכשיר היא חלק מהטיפול, לא תוספת אליו.