Cisco alerta para falha crítica sob exploração

A Cisco alertou para a exploração ativa de uma vulnerabilidade crítica no Secure Email Gateway, uma solução de segurança de correio eletrónico empresarial. A falha, identificada como CVE-2026-76519, apresenta uma classificação de 9,8 em dez no Common Vulnerability Scoring System (CVSS) e pode permitir a execução remota de comandos com privilégios de root, sem necessidade de autenticação.

Segundo a fabricante, a vulnerabilidade afeta a funcionalidade Advanced Malware Protection (AMP) e está a ser explorada por atacantes desde, pelo menos, este último mês.

O problema está relacionado com o processamento de anexos de correio eletrónico quando o serviço de reputação de ficheiros está ativado e o equipamento utiliza uma versão das ferramentas Content Scanner Tools anterior à 25.3.0.5525.

Nestas condições, um atacante pode enviar mensagens com anexos especialmente preparados para explorar a vulnerabilidade, escrever ficheiros arbitrários no sistema operativo e executar comandos com privilégios de root.

A Cisco publicou indicadores de compromisso (IoC) para ajudar as organizações a identificar possíveis intrusões nos sistemas afetados.

No entanto, a empresa alerta que os atacantes podem utilizar os privilégios obtidos para eliminar ou ocultar vestígios da exploração, dificultando a identificação de atividades maliciosas.

Por esse motivo, a fabricante recomenda a análise de registos de rede e de firewalls externos aos equipamentos afetados, procurando identificar atividades suspeitas, incluindo transferências inesperadas de ficheiros de e para endereços IP externos.

No caso de equipamentos físicos em que existam suspeitas de exploração, a Cisco aconselha os clientes a contactar o seu Technical Assistance Center (TAC).

Para appliances virtuais, a recomendação passa pela implementação de uma nova máquina virtual com uma versão corrigida do software, pela reconstrução da configuração do produto e pela alteração das credenciais de acesso, preservando simultaneamente as provas necessárias à análise forense.

A Cisco confirmou ainda que contactou diretamente clientes do serviço Secure Email Cloud nos quais foram identificados indicadores de possível compromisso. A fabricante afirma estar a desenvolver operações de remediação e recuperação e indica que já implementou medidas de mitigação nos ambientes sob a sua gestão.

Atualizações de segurança disponíveis desde setembro

As correções para a CVE-2026-76519 foram disponibilizadas a 14 de setembro de 2026, nas versões 15.5.5-014 e 16.5.0-780 do Secure Email Gateway. Inicialmente, a vulnerabilidade estava agrupada com outras falhas sob a identificação CVE-2026-76440. A Cisco atualizou posteriormente o aviso de segurança para refletir a exploração ativa da CVE-2026-76519.

A empresa recomenda que os clientes migrem para uma versão corrigida do AsyncOS com a maior brevidade possível, de forma a reduzir a exposição a ataques.

Esta é a segunda vulnerabilidade do Cisco Secure Email Gateway identificada como estando sob exploração ativa desde meados de setembro. A primeira, identificada como CVE-2026-76461, também permitia a execução remota de comandos com privilégios de root, sem necessidade de autenticação.

A Agência de Cibersegurança e Segurança das Infraestruturas dos Estados Unidos (CISA) adicionou a CVE-2026-76519 ao catálogo Known Exploited Vulnerabilities (KEV), que reúne vulnerabilidades com exploração ativa confirmada. A agência estabeleceu o dia 17 de outubro de 2026 como prazo para que as entidades federais norte-americanas abrangidas pelas suas diretivas apliquem as correções necessárias.

A Cisco recomenda a atualização dos sistemas e a análise de possíveis indicadores de compromisso, uma vez que a instalação das correções impede novas explorações da falha, mas não elimina eventuais compromissos anteriores.