Swati Khandelwal 14 Oct 2026 E-posta Güvenliği / Açıklık
Cisco'nun Çarşamba günü yayımladığı uyarıya göre saldırganlar, Cisco Secure Email Gateway'deki kritik bir açığı aktif olarak istismar ediyor. Açık, oturum açma gerektirmeyen bir göndericinin cihazın işletim sistemine dosya yazmasına olanak tanıyor.
Saldırgan, kapıdan geçecek şekilde hazırlanmış bir ek ile e-posta gönderiyor ve başarılı olursa root olarak komut çalıştırabiliyor. Cihaz bir kuruluşun e-postasını spam, kötü amaçlı yazılım ve diğer tehditler açısından filtreliyor. File Reputation servisi etkin olan ve Content Scanner Tools paketi 25.3.0.5525'ten eski olan bir kapı yalnızca bu durumda savunmasız.
Düzeltme 14 Eylül'den beri AsyncOS 15.5.5-014 ve 16.5.0-780 sürümlerinde sunuluyor. Cisco o gün yayımladığı sertleştirme sürümünde bu yapıları düzeltilmiş olarak listelemişti ve şirket şimdi bu açığın da o sürümle kapatıldığını belirtiyor. Düzeltme ayrıca yazılım yükseltmesi veya yeniden başlatma gerektirmeyen Content Scanner Tools güncellemesi sürüm 25.3.0.5525 ve sonrası olarak da geliyor.
Cisco, iç güvenlik taramasında bulduğu ve CVE-2026-76519 olarak izlenen açığı tespit etti; CVSS puanı 9.8. Şirket Ekim ayında saldırıların farkına vardı. Uyarıda kaç cihazın saldırıya uğradığı, saldırıların arkasında kimlerin olduğu ya da saldırganların herhangi birinde root elde edip etmediği belirtilmiyor.
Cisco, yönetilen Secure Email Cloud hizmeti müşterilerinden cihazlarında "olası ihlal göstergesi" görülenlere ulaştı ve düzeltme ile kurtarma çalışmalarında olduğunu söylüyor. Bu yönetilen kapıların yöneticilerinin ihlal kontrolünü çalıştırmak için gerekli komut satırı erişimine sahip olmayabileceği belirtiliyor. Cisco bu kapılarda düzeltilmiş tarayıcıyı zaten dağıttı, bu nedenle düzeltmeyi almak için herhangi bir işlem yapmaları gerekmiyor.
Kimler Etkileniyor
Her iki koşulun da sağlanması gerekiyor. Eklentileri işleyen Advanced Malware Protection özelliğinin bir parçası olan File Reputation servisi etkin olmalı ve bir posta politikasına atanmalı. Content Scanner Tools sürümü 25.3.0.5525'ten eski olmalı.
Savunmasız AsyncOS sürümlerindeki fiziksel ve sanal kapılar etkileniyor. Secure Email and Web Manager ve Secure Web Appliance etkilenmiyor.
İlk koşulu kontrol etmek için Mail Policies > Incoming Mail Policies > Advanced Malware Protection yolunu açın ya da aynı yolu Outgoing Mail Policies altında izleyin, bir posta politikası seçin ve Enable File Reputation kutusuna bakın. İkincisini kontrol etmek için CLI'da contentscannerstatus komutunu çalıştırın; bu komut sürümü ve son güncelleme zamanını gösterir.
Nasıl Düzeltilir
En hızlı yol tarayıcı güncellemesi. Otomatik Content Scanner Tools güncellemeleri açık olan kapılarda güncelleme uygulandıktan sonra işlem gerekmiyor; sürümün 25.3.0.5525 veya sonrası olduğunu contentscannerstatus ile doğrulayın, geldiğini varsaymayın.
Otomatik güncellemeler kapalıysa CLI'da contentscannerupdate komutunu çalıştırın ya da Security Services > Service Updates altında açın.
Tam AsyncOS düzeltmesi ilk düzeltilmiş sürümlerde bulunuyor:
16.0: düzeltilmiş yapı yok. Düzeltilmiş bir sürüme geçin.
Content Scanner Tools (tüm lisanslı ve desteklenen AsyncOS sürümleri): 25.3.0.5525 veya sonrası
Cisco, 16.5'ten önceki her kapının 16.5.0-780'e taşınmasını öneriyor. Eylüldeki SQL enjeksiyon açığını kapatan 16.0.4-302 yapısındaki bir 16.0 kapısı bu açık için düzeltilmemiş durumda ve uyarıda tarayıcı güncellemesi için lisanslı ve desteklenen sayılan sürümler listelenmiyor. 16.0'da kalan bir kapı için contentscannerstatus tarafından gösterilen tarayıcı sürümü uyarının sunduğu tek doğrulama.
Geçici bir çözüm yok. İhlal belirtileri gösteren bir sanal cihaz için Cisco'nun önerisi yeni kimlik bilgileriyle yeniden oluşturmak ve ihlal edilmiş bir örneğin yükseltilmesinin adli verileri ve günlükleri yok ettiğini uyarıyor.
İhlal Nasıl Kontrol Edilir
Cisco'nun istismar girişimi kontrolü cihazda tek bir komut: grep "System Security" system_logs. Komut üç mesajdan birini döndürüyor:
System Security: Suspected compromise indicator was found. Contact TAC for further recommendations. Compromise detected. Follow the recovery steps below.
System Security: Security scan did not complete. Contact TAC for further recommendations. Contact Cisco's Technical Assistance Center (TAC).
System Security: No compromise indicator was found. No compromise detected by this check. Upgrade if the device is on an affected release.
Komutu kümenin her üyesinde çalıştırın. Temiz sonuç kanıt değil: root yetkisine sahip bir saldırgan kanıtı kaldırabilir ya da gizleyebilir, bu nedenle cihaz dışındaki güvenlik duvarı ve ağ günlüklerinde harici IP adreslerine beklenmeyen yüklemeler ya da kötü amaçlı kaynaklardan indirmeler için de kontrol yapın. Uyarı taramanın neye baktığını söylemiyor.
Cihaz İhlal Edildiyse
Fiziksel bir cihaz için Cisco müşterilerden TAC ile iletişime geçmelerini ve mühendislerinin araştırması için uzaktan erişimi etkinleştirmelerini istiyor. Sanal cihaz için adımları şöyle:
Önce adli verileri koruyun. İhlal edilmiş bir örneğin yükseltilmesi günlükleri ve kanıtları yok eder.
Düzeltilmiş bir sürüm üzerinde yeni bir sanal makine dağıtın.
Herhangi bir önceki yapılandırma dosyasını içe aktarmadan yapılandırmayı yeniden oluşturun.
Cihazda kimlik bilgilerini ve kriptografik materyali yenileyin, ardından olağandışı davranışları izlemeye devam edin.
Küme üyeleri birbirleriyle SSH anahtar çiftleriyle doğrulanıyor. İhlal edilmiş bir üyenin özel anahtarları saldırganın diğerlerine girmesine yol açabilir, bu nedenle Cisco en az bir ihlal edilmiş cihaz içeren bir kümenin her üyesinin geri yüklenmesini öneriyor. Cisco'nun temas ettiği Secure Email Cloud müşterilerinden mümkün olduğunda kimlik bilgilerini ve kriptografik materyali yenilemeleri isteniyor.
Eylül Yayını
Bu, Cisco'nun bir ay içinde saldırı altında olduğunu doğruladığı ikinci Secure Email Gateway açığı. 14 Eylül'de şirket, kapının e-posta ayrıştırma işlemindeki SQL enjeksiyon açığı CVE-2026-76461'i açıkladı; bu açık kimliği doğrulanmamış bir göndericinin hazırlanmış bir e-posta üzerinden root olarak komut çalıştırmasına izin verebiliyordu.
Bu açık her yapılandırmayı etkiliyor ve aynı gün CISA'nın Bilinen İstismar Edilen Açıklıklar kataloğuna eklendi. İki açık yazılımın farklı bölümlerinde yer alıyor ve farklı günlük kontrollerine sahip; Cisco saldırıları ilişkilendirmiyor.
Aynı gün Cisco, kapı ve Secure Email and Web Manager için bir sertleştirme sürümü yayımladı; içte bulunan hatalar zayıflık sınıfına göre beş şemsiye CVE altında gruplandı: CVE-2026-76440, CVE-2026-76441, CVE-2026-20353 ve CVE-2026-76443, her biri 9.8 puan, ve CVE-2026-76442 7.5 puan. Her puan o sınıftaki hataların en yükseği ve uyarı 15.5.5-014 ve 16.5.0-780 yapılarını taşıyordu.
Cisco bu uyarıyı Çarşamba günü güncelledi ve şimdi "İkisi aktif olarak istismar edildiği biliniyor" diyor: yol geçişi sınıfında yer alan dosya yazma açığı ve uygunsuz nötralizasyon sınıfında yer alan Eylül SQL enjeksiyon açığı. Şirket sürümdeki diğer hatalara yönelik saldırıların farkında değil.
Cisco'nun haziranda açıkladığı bir ifşa politikası uyarınca sertleştirme sürümlerinde düzeltilen hatalar gruplu CVE'leri paylaşıyor ve bir açık, diğer nedenlerin yanı sıra istismar edildiği biliniyorsa kendi CVE'sini alıyor. Dosya yazma açığı eylülde yol geçişi grubu içinde düzeltildi ve Çarşamba günü kendi uyarısını aldı.
Bu aynı zamanda Cisco'nun Aralık ayından bu yana bu cihazlarda istismar edildiğini doğruladığı üçüncü root düzeyi açık. O dönemde Cisco Talos'un UAT-9686 olarak izlediği Çin bağlantılı bir grup, Cisco'nun Ocak ayında yama yaptığı spam karantina özelliğindeki sıfırıncı gün açığı CVE-2025-20393'ü kullandı.
