ב-14 באוקטובר פרסמה סיסקו חולשה בציון 9.8 בשער הדואר המאובטח שלה, ואמרה שהיא כבר מנוצלת בשטח. בטבלת הגרסאות המתוקנות מופיעים שני מספרים מוכרים, 15.5.5-014 ו-16.5.0-780, בדיוק אלה שסיסקו נתנה חודש קודם על חולשה אחרת. וכאן קל לטעות.

סקירה כללית

שער הדואר של סיסקו יושב בין האינטרנט לתיבות הדואר של הארגון, וכל מייל נכנס עובר דרכו. לכל קובץ מצורף הוא בודק אם הוא כבר מוכר כזדוני, ובתכונה שעושה את זה, Advanced Malware Protection, יושבת CVE-2026-76519. קובץ מצורף שנבנה במיוחד גורם להתקן לכתוב אותו במקום הלא נכון. לסוג החולשה הזה קוראים Relative Path Traversal.

חשוף רק התקן שבו בדיקת המוניטין של קבצים מופעלת ומשויכת למדיניות דואר, וחבילת Content Scanner Tools רצה בגרסה מוקדמת מ-25.3.0.5525. את הגרסה שלה בודקים בפקודת contentscannerstatus, והיא מתעדכנת בלי שדרוג ובלי הפעלה מחדש. זאת הסיבה שהטבלה נראית מוכרת: לפי סיסקו התיקון מגיע לכל גרסאות AsyncOS הנתמכות דרך אותה חבילה. השורה היחידה שהשתנתה מאז ספטמבר היא של ענף 16.0: אז הוא קיבל גרסה מתוקנת משלו, והיום רק הנחיה לעבור לגרסה מתוקנת.

מזהה: CVE-2026-76519
סוג: מעבר נתיב יחסי (Relative Path Traversal, CWE-23)
מוצר: Cisco Secure Email Gateway (AsyncOS)
גרסאות מושפעות: התקנים עם File Reputation מופעל ו-Content Scanner Tools מוקדמת מ-25.3.0.5525
גרסה מתוקנת: Content Scanner Tools 25.3.0.5525 ומעלה; AsyncOS 15.5.5-014 או 16.5.0-780
ניצול בפועל: כן, ברשימת ה-KEV של CISA מ-14 באוקטובר 2026

ציר זמן

14 בספטמבר 2026: סיסקו מפרסמת את CVE-2026-76461, חולשה אחרת באותו התקן, גם היא בציון 9.8, עם הגרסאות 15.5.5-014, 16.0.4-302 ו-16.5.0-780.
אוקטובר 2026: ה-PSIRT של סיסקו נעשה מודע לניצול בפועל של החולשה, שהתגלתה בסריקת אבטחה פנימית.
14 באוקטובר 2026, 16:00 GMT: פרסום ההודעה cisco-sa-esa-afw-zqYJkjxp.
14 באוקטובר 2026: הרשומה מתפרסמת ב-NVD, ו-CISA מוסיפה את החולשה ל-KEV עם יעד תיקון ב-17 באוקטובר.

איך הניצול עובד

כדי לבדוק קובץ מצורף ההתקן כותב אותו לדיסק, והחולשה היא באופן שבו נקבע לאן: הנתיב שמגיע עם הקובץ נלקח כפי שהוא, כולל תווים שאומרים לעלות תיקייה אחת למעלה. כך מנצל התוקף את חולשת ה-Relative Path Traversal ומנחית קובץ מחוץ לתיקייה שיועדה לו, ולפי סיסקו משם אפשר להגיע להרצת פקודות בהרשאות root. אף אחד בארגון לא צריך לפתוח את המייל. מספיק שהוא עבר.

ניתוח ציון ה-CVSS

ציון CVSS: 9.8

מה שמחזיק את הציון גבוה הוא מה שהתקיפה לא דורשת: לא אימות, לא לחיצה של משתמש, רק מייל מהאינטרנט. את העשר מונעת ממנה העובדה שהשליטה נעצרת בגבולות ההתקן.

איפה למצוא Proof of Concept (PoC)

PoC ציבורי עוד לא פורסם. ההפניה הטכנית הטובה ביותר היא הודעת האבטחה של סיסקו, ובה הסעיף שקל לדלג עליו: חיפוש המחרוזת System Security בתוך system_logs, בכל חבר באשכול. שורה שאומרת שנמצא סימן לחשד לפריצה היא הוראה לפנות ל-TAC, לא להתחיל בעדכון. סיסקו מסרה שפנתה ללקוחות ענן שאצלם מצאה סימנים לפריצה אפשרית.

הציון 9.8 אומר שמייל אחד מספיק. המספר שקובע אם זה עדיין אפשרי אצלכם הוא לא זה שבטבלת AsyncOS, אלא זה שחוזר מ-contentscannerstatus.