שער הדואר של Cisco יושב בכניסה לארגון ובודק כל הודעה שנכנסת לפני שהיא מגיעה לתיבה של מישהו. חולשה חדשה הופכת את הבדיקה הזאת עצמה לנקודת הכניסה: הודעה שנבנתה במיוחד גורמת למכשיר להריץ פקודות בהרשאות root, החשבון החזק ביותר במערכת. אין צורך בחשבון, אין צורך שמישהו יפתח את ההודעה, והציון הוא 9.8 מתוך 10.
מה החולשה?
כדי לסנן דואר, המכשיר חייב קודם לפרסר אותו, כלומר לפרק את ההודעה לחלקים שלה ולקרוא מה יש בכל אחד מהם. לפי Cisco, בשלב הזה חלק מהתוכן שמגיע מההודעה נכנס גם לשאילתה שהמכשיר מריץ מול מסד הנתונים שלו, בלי בדיקה מספקת של מה שנכנס לשם.
המשמעות היא שתוקף יכול לכתוב בתוך ההודעה פקודות מסד נתונים משלו, והמכשיר ירוץ איתן כאילו הן חלק מהשאילתה שלו. השם המקצועי לזה הוא SQL Injection. משם, לפי Cisco, אפשר להגיע להרצת פקודות על מערכת ההפעלה שמתחת, בהרשאות root.
שימו לב לסדר הדברים. התוקף לא צריך להתחבר לכלום, ולא צריך שמישהו בארגון יעשה טעות. הוא שולח הודעה לכתובת בארגון, והמכשיר שתפקידו לבדוק אותה הוא זה שמריץ את מה שבתוכה. זה מה שמייצר ציון כזה.
מי מושפע?
המוצר הוא Cisco Secure Email Gateway, שרץ על מערכת ההפעלה AsyncOS של Cisco. הרשומה ב-NVD אינה מפרטת אילו גרסאות מושפעות ואיזו גרסה מתקנת, ואת הרשימה הזאת צריך לקחת מהודעת האבטחה של Cisco.
מכשיר כזה לא נמצא אצל משתמשים פרטיים. הוא יושב בארגונים שמפעילים מערך דואר משלהם, ובישראל אלה בעיקר גופים גדולים: בנקים, בתי חולים, משרדי ממשלה וחברות עם מחלקת IT משלהן. עובד בארגון כזה אינו נדרש לעשות דבר בעצמו, אבל הדואר שלו עובר דרך המכשיר הזה.
האם מנוצלת בפועל?
כן. ב-14 בספטמבר 2026 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, הקטלוג שמרכז חולשות שכבר נראו בשימוש של תוקפים. המועד המחייב שנקבע לגופים פדרליים בארצות הברית הוא ה-17 בספטמבר, שלושה ימים בלבד אחרי הכניסה לרשימה. חלון קצר כזה הוא הסימן הברור ביותר לדחיפות שהסוכנות מייחסת לחולשה.
מה עושים?
אתרו את גרסת AsyncOS שרצה על המכשיר דרך ממשק הניהול שלו, והשוו אותה לגרסאות המתוקנות שמופיעות בהודעת האבטחה של Cisco המקושרת למעלה. ההתקנה של הגרסה המתוקנת היא הפעולה היחידה שסוגרת את החולשה.
אין כאן הנחיה למשתמשים בסגנון אל תפתחו הודעות חשודות, ואי אפשר להסתמך על כזאת. ההרצה קורית בשלב הסינון, לפני שההודעה בכלל הגיעה למישהו, ולכן הדרכת עובדים אינה נוגעת לחולשה הזאת.
עד שהעדכון מותקן, עברו על יומני המכשיר וחפשו הודעות שגרמו לשגיאות פרסור חריגות, וודאו שממשק הניהול שלו אינו נגיש מהאינטרנט. מכשיר שכבר נוצל לא מתנקה מעצם ההתקנה של העדכון.