A Cisco corrigiu uma falha zero-day em seu Secure Email Gateway (SEG) que permite a atacantes remotos e não autenticados executar comandos com privilégios de root no sistema operacional subjacente. A vulnerabilidade, identificada como CVE-2026-76519, já está sendo explorada ativamente, segundo aviso publicado pela própria Cisco em 14 de outubro.
Como a falha funciona
A falha é uma fraqueza de "path traversal" relativo no recurso Advanced Malware Protection (AMP) do SEG, causada pelo tratamento inadequado de anexos de e-mail. Um atacante consegue explorar o problema enviando um e-mail com um anexo maliciosamente construído para um dispositivo não corrigido.
"Um aproveitamento bem-sucedido pode permitir que o atacante escreva arquivos arbitrários e execute comandos com privilégios de root no sistema operacional subjacente", afirmou a Cisco em seu advisory de segurança. "Em outubro de 2026, o Cisco PSIRT tomou conhecimento da exploração ativa desta vulnerabilidade."
A CVE-2026-76519 afeta instâncias do SEG onde o serviço File Reputation está habilitado e atribuído a uma política de e-mail, e a versão do Content Scanner Tools é anterior à 25.3.0.5525.
Como verificar se está vulnerável
Para verificar se um dispositivo específico está vulnerável, administradores devem usar o comando CLI "contentscannerstatus" para checar a versão do Content Scanner Tools em execução e inspecionar a caixa de seleção "Enable File Reputation" em Mail Policies > Incoming Mail Policies > Advanced Malware Protection ou Mail Policies > Outgoing Mail Policies > Advanced Malware Protection na interface web de gerenciamento.
A Cisco compartilhou os indicadores de comprometimento (IOCs) em uma tabela no advisory. As mensagens de log incluem "Suspected compromise indicator was found" (comprometimento detectado), "Security scan did not complete" (varredura de segurança não concluída) e "No compromise indicator was found" (nenhum indicador de comprometimento encontrado).
Recomendação imediata
Esta não é a primeira vez que o SEG é alvo de exploração ativa de zero-days em 2026. A empresa vem emitindo patches críticos para sua linha de segurança de e-mail com frequência, o que indica que a superfície de ataque do SEG é considerada um alvo prioritário por atores de ameaça.
Para empresas brasileiras que utilizam o Cisco SEG como parte de sua infraestrutura de segurança de e-mail, a recomendação é imediata: aplicar a atualização para a versão 25.3.0.5525 ou posterior e revisar os logs em busca de qualquer dos IOCs listados pela Cisco. A exploração ativa significa que campanhas de phishing e ataques de e-mail malicioso podem estar utilizando esta vulnerabilidade como vetor de inicialização para comprometer sistemas corporativos.
A Cisco também alertou que, em caso de comprometimento confirmado, os administradores devem contatar o Centro de Assistência Técnica da Cisco (TAC) para orientação sobre contenção e remediação.
Fontes e referências
Encontrou uma informação que precisa de correção? Fale com a redação.