Alerte cyber pour PME suisses : Cisco Secure Email Gateway – une pièce jointe piégée permet des commandes root
Cisco confirme l’exploitation active de CVE-2026-76519 dans Secure Email Gateway. Lorsqu’une appliance locale vulnérable analyse une pièce jointe piégée, un attaquant non authentifié peut écrire des fichiers arbitraires et exécuter des commandes avec les privilèges root.
Si votre entreprise ou son prestataire informatique exploite un Cisco Secure Email Gateway physique ou virtuel, demandez aujourd’hui de vérifier la version de Content Scanner Tools, de la mettre à jour vers 25.3.0.5525 ou une version ultérieure et de rechercher des traces de compromission.
Que s’est-il passé ?
Cisco a publié le 14 octobre 2026 un avis critique concernant CVE-2026-76519, avec un score CVSS de 9.8, et a confirmé une exploitation active en octobre. La vulnérabilité apparaît lors du traitement des pièces jointes par la fonction Advanced Malware Protection. Il suffit à l’attaquant d’envoyer un e-mail spécialement préparé à travers la passerelle ; aucune authentification n’est requise.
Mon entreprise pourrait-elle être concernée ?
Les Cisco Secure Email Gateway physiques et virtuels sont concernés lorsque le service File Reputation est associé à une politique de messagerie et que Content Scanner Tools est antérieur à 25.3.0.5525. Cisco Secure Email Cloud Gateway est déjà protégé et ne nécessite aucune action du client. Secure Email and Web Manager et Secure Web Appliance ne sont pas concernés.
Que faire maintenant ?
Demandez dès maintenant à votre prestataire informatique de :
Mettre Content Scanner Tools à jour vers 25.3.0.5525 ou une version ultérieure, ou passer à AsyncOS 15.5.5-014 ou 16.5.0-780. AsyncOS 16.0 doit migrer vers une version corrigée.
Vérifier si les mises à jour automatiques de Content Scanner Tools étaient activées et si la mise à jour a réellement été appliquée. La simple présence d’une fonction automatique ne constitue pas une confirmation.
Rechercher dans system_logs les messages Cisco « System Security » et examiner les journaux réseau et pare-feu externes pour repérer des transferts inhabituels. En cas de suspicion, contacter Cisco TAC et préserver les données forensiques avant toute modification.
Quel est le degré d’urgence ?
Urgence critique – contrôle immédiat. La faille est activement exploitée, ne requiert aucune authentification et peut donner un contrôle root sur une passerelle de sécurité e-mail. Seul Cisco Secure Email Cloud Gateway est confirmé par le fabricant comme déjà protégé de manière centralisée.
Informations pour votre prestataire informatique
L’exposition exige que Cisco AMP File Reputation soit activé et associé à une politique de messagerie, avec Content Scanner Tools antérieur à 25.3.0.5525. Cisco indique 15.5.5-014 et 16.5.0-780 comme premières versions AsyncOS corrigées ; la version 16.0 doit migrer. Aucun contournement n’est disponible. Un attaquant peut masquer les preuves après exploitation, d’où la recommandation de vérifier aussi les journaux externes. Pour une appliance virtuelle compromise, Cisco recommande une reconstruction, une nouvelle configuration et le renouvellement des identifiants et du matériel cryptographique.
