Cisco Secure Email Gateway 任意文件写入漏洞（CVE-2026-76519，CVSS 9.8，已发现野外利用）

来源机构：Cisco　|　原文：Cisco Secure Email Gateway Arbitrary File Write Vulnerability　|　原文发布：2026-10-14　|　页面性质：中文翻译与摘录（非原创综述）

漏洞概要

Cisco Secure Email Gateway 的 Advanced Malware Protection（AMP）功能中存在一处漏洞，可使未经验证的远程攻击者在底层操作系统上写入任意文件。该漏洞源于在启用文件信誉（File Reputation）服务时，对邮件附件的处理不当。攻击者可通过向受影响设备发送包含特制附件的邮件来利用此漏洞。利用成功可使攻击者在底层操作系统上写入任意文件，并以 root 权限执行命令。

Cisco 已发布修复该漏洞的软件更新。该漏洞没有可用的规避方案。本公告的文档信息同时参见《Cisco Secure Email Gateway and Secure Email and Web Manager Security Hardening Release: September 2026》。

受影响的产品与判定条件

当 Cisco Secure Email Gateway（物理与虚拟设备）运行受影响的 Cisco AsyncOS 软件版本，并且同时满足以下两个条件时，该漏洞才会被触发：其一，作为 Cisco AMP 一部分的 File Reputation 服务已启用并被分配给某个邮件策略；其二，Content Scanner Tools 版本早于 25.3.0.5525。

Cisco 已确认以下产品不受影响：Secure Email and Web Manager、Secure Web Appliance。

如何确认设备是否暴露

确认 File Reputation 是否启用：登录 Web 管理界面，依次选择 Mail Policies > Incoming Mail Policies > Advanced Malware Protection 或 Mail Policies > Outgoing Mail Policies > Advanced Malware Protection，选择某个邮件策略并检查“Enable File Reputation”复选框是否勾选。

确认 Content Scanner Tools 版本：在 CLI 执行 contentscannerstatus 命令。示例如下（为受影响版本）：

cisco-esa> contentscannerstatus
Component              Version                Last Updated
Content Scanner Tools  25.2.0.5427.15.5.001 Never updated

入侵指标与日志核查

若需确认是否存在利用尝试，可在 CLI 执行以下命令检查系统日志：

esa-appliance> grep "System Security" system_logs

若设备属于集群，需逐一检查每个集群设备的日志。关键日志含义如下：“System Security: Suspected compromise indicator was found.” 表示检测到入侵，应联系 Cisco TAC 并按本公告建议处理；“System Security: Security scan did not complete.” 同样需联系 TAC；“System Security: No compromise indicator was found.” 表示未发现入侵迹象，如适用请升级至修复版本。

由于利用成功后可获得 root 权限的命令执行能力，攻击者可清除或隐藏利用痕迹与入侵指标。Cisco 强烈建议同时比对受影响设备之外的网络日志与防火墙日志，识别任何异常活动，包括由受影响设备向外部 IP 发起的意外上传，或来自恶意 IP 的下载。

规避方案

没有任何规避方案能够消除此漏洞。Cisco 建议客户升级至本公告所列的修复软件版本。

修复软件版本

下表列出受影响的 Cisco AsyncOS 软件版本与对应的首个修复版本：15.5 修复于 15.5.5-014；16.0 需迁移至修复版本；16.5 修复于 16.5.0-780。Cisco 强烈建议运行 16.5 之前版本的用户迁移至 16.5.0-780。该漏洞的修复也随 Content Scanner Tools 软件包更新分发至所有受许可且受支持的 AsyncOS 版本；Content Scanner Tools 25.3.0.5525 及更高版本包含该修复。

更新 Content Scanner Tools 不需要升级软件或重启产品。已启用自动更新的客户在更新应用后无需操作；已禁用自动更新的客户需手动执行 contentscannerupdate 命令更新，或在 Web 界面 Security Services > Service Updates 中启用 Automatic Updates。

处置建议

若怀疑物理设备被利用，Cisco 建议联系 TAC 获取支持，并确保受影响设备已启用远程访问以便调查。若怀疑虚拟设备被利用，Cisco 强烈建议：先保留取证信息（在升级前记录，因升级会破坏取证数据与日志）；部署运行某一修复版本的新虚拟机；不导入任何先前配置文件而重建产品配置；更新设备上安装的所有凭据与加密材料；持续监控系统异常行为。

由于 Secure Email Gateway 设备可组成集群，集群成员间使用 SSH 密钥对认证；利用成功后可访问被入侵设备上的私钥，进而可能危及集群其他成员。因此，只要集群中存在至少一个被入侵成员，Cisco 强烈建议将该集群每个成员都恢复至安全配置。

利用与公开披露

Cisco PSIRT 于 2026 年 10 月获悉该漏洞的活跃利用（active exploitation）。该漏洞由 Cisco 内部安全扫描发现。

常见问题（答案均取自上述人类原文章节）

CVE-2026-76519 的严重程度与影响是什么？

CVSS 基础评分 9.8（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）。漏洞位于 Cisco Secure Email Gateway 的 Advanced Malware Protection（AMP）功能中，未经身份验证的远程攻击者可借发送含特制附件的邮件，在底层操作系统上写入任意文件并以 root 权限执行命令。

哪些设备会受此漏洞影响？

同时满足以下两个条件的 Cisco Secure Email Gateway（物理与虚拟设备）受影响：File Reputation 服务（属于 Cisco AMP）已启用并分配给某个邮件策略；Content Scanner Tools 版本早于 25.3.0.5525。Secure Email and Web Manager 与 Secure Web Appliance 不受影响。

是否存在规避方案（workaround）？

Cisco 明确表示无可用规避方案。唯一修复方式是升级软件：将 AsyncOS 升级至修复版本（15.5 修复于 15.5.5-014；16.5 修复于 16.5.0-780；16.0 需迁移至修复版本），或将 Content Scanner Tools 升级至 25.3.0.5525 及以上。

如何判断设备是否已被利用？

在 CLI 执行 grep "System Security" system_logs。若出现 “System Security: Suspected compromise indicator was found.” 表示检测到入侵，应联系 Cisco TAC；“Security scan did not complete.” 亦需联系 TAC；“No compromise indicator was found.” 表示未发现。由于利用成功后可获 root 命令执行权限、攻击者可清除证据，Cisco 建议同时比对设备之外的网络与防火墙日志中异常的上行/下行流量。

该漏洞是否已在野外被利用？

Cisco PSIRT 于 2026 年 10 月获悉该漏洞的活跃利用（active exploitation）。漏洞本身由 Cisco 内部安全扫描发现。