Faille Cisco Secure Email Gateway CVE-2026-76519 : êtes-vous concerné ?

Q1. C’est quoi, la faille CVE-2026-76519 ?

C’est une faille critique (CVSS 9,8) dans la fonction Advanced Malware Protection (AMP) de Cisco Secure Email Gateway, la passerelle qui filtre les courriels avant qu’ils arrivent dans vos boîtes. Un attaquant à distance, sans compte, envoie un courriel avec une pièce jointe piégée. En la traitant, la passerelle écrit des fichiers où elle ne devrait pas (traversée de répertoire) et l’attaquant peut exécuter des commandes avec les privilèges root. Personne n’a besoin d’ouvrir la pièce jointe.

Q2. Est-elle vraiment exploitée ?

Oui. Cisco indique que son équipe PSIRT a constaté une exploitation active en octobre 2026 et a publié son avis le 14 octobre. Le même jour, la CISA l’a ajoutée à son catalogue des vulnérabilités activement exploitées (KEV), avec une échéance au 17 octobre pour les agences fédérales américaines. C’est la deuxième faille exploitée de ce produit depuis la mi-septembre, après CVE-2026-76461.

Q3. Comment savoir si ma passerelle est vulnérable ?

Deux conditions doivent être réunies sur une passerelle physique ou virtuelle : 1) le service File Reputation (AMP) est activé et assigné à une politique de courriel (menu Mail Policies > Incoming/Outgoing Mail Policies > Advanced Malware Protection) ; 2) la version des Content Scanner Tools est antérieure à 25.3.0.5525 (commande contentscannerstatus). Le gestionnaire Secure Email and Web Manager et le Secure Web Appliance ne sont pas touchés, selon Cisco.

Q4. Comment corriger ?

Le plus rapide : installer Content Scanner Tools 25.3.0.5525 ou plus, sans redémarrage (contentscannerupdate, ou mises à jour automatiques). Sur le fond, Cisco recommande AsyncOS 15.5.5-014 ou 16.5.0-780, des versions publiées dès le 14 septembre (la faille était alors regroupée sous CVE-2026-76440). Il n’existe aucun contournement.

Q5. Le correctif suffit-il ?

Non, si l’appareil était exposé avant la mise à jour. Cherchez les indicateurs publiés par Cisco (grep "System Security" system_logs, sur chaque membre d’un cluster). Avec un accès root, l’attaquant peut effacer ses traces : Cisco conseille donc de vérifier aussi les journaux du pare-feu et du réseau à l’extérieur de la passerelle. Sur un appareil virtuel compromis, conservez les preuves avant de mettre à jour : la mise à jour détruit les données forensiques.

Q6. Nous sommes sur Microsoft 365 : sommes-nous touchés ?

Pas par cette faille, si aucune passerelle Cisco n’est placée devant Microsoft 365. Or certaines organisations, surtout celles qui ont un siège social ou un ancien serveur Exchange, gardent une passerelle Cisco (anciennement appelée Email Security Appliance ou IronPort) qui filtre le courrier avant Microsoft 365. Vos enregistrements MX ou votre fournisseur TI peuvent le confirmer en quelques minutes.

Q7. Une faille Cisco Secure Email Gateway peut-elle toucher tout mon réseau ?

Oui. La passerelle voit passer tous vos courriels et détient souvent des identifiants (annuaire LDAP, relais SMTP) et des clés SSH partagées entre les membres d’un cluster. Cisco avertit qu’une clé volée sur un appareil peut servir à compromettre les autres. D’où la consigne de reconstruire chaque membre d’un cluster qui contient un appareil compromis.