Cisco demande « instamment » à ses clients de corriger sans attendre une faille critique de sa passerelle de messagerie sécurisée, Secure Email Gateway (SEG). Cette vulnérabilité, référencée CVE-2026-76519 et notée 9,8 sur 10 sur l’échelle CVSS, a déjà été exploitée par des pirates avant la publication d’un correctif.
Un simple e-mail suffit
Le défaut permet à un attaquant distant, sans aucune authentification, d’écrire des fichiers et d’exécuter des commandes avec les droits d’administrateur (root) sur l’équipement. Il suffit pour cela d’envoyer un message contenant une pièce jointe piégée. En cause : le traitement défaillant des pièces jointes par la fonction Advanced Malware Protection, censée justement protéger contre les logiciels malveillants.
Les appliances physiques comme virtuelles sont concernées, à deux conditions : le service File Reputation doit être activé et rattaché à une politique de messagerie, et la version des Content Scanner Tools doit être antérieure à 25.3.0.5525. Cisco précise qu’il n’existe aucun contournement. La seule parade est la mise à jour logicielle, et les clients qui utilisent une version d’AsyncOS antérieure à la 16.5 sont invités à passer à la 16.5.0-780.
Cisco reconnaît une exploitation active de la faille et indique qu’elle touche « un nombre limité de clients ». L’entreprise n’a toutefois pas voulu dire combien d’appareils avaient été compromis, ni ce que les attaquants faisaient une fois dans les systèmes. De son côté, l’agence américaine de cybersécurité CISA a ajouté la faille à son catalogue des vulnérabilités activement exploitées et a fixé aux agences fédérales américaines une échéance au samedi pour appliquer le correctif.
Une série qui inquiète
Ce n’est pas la première alerte de ce type. À la mi-septembre, Cisco avait déjà averti que des cybercriminels exploitaient une faille similaire de la même gamme, CVE-2026-76461, qui transformait elle aussi un e-mail malveillant en accès root. En janvier, une autre vulnérabilité critique d’AsyncOS, CVE-2025-20393, avait été utilisée pour s’introduire dans des appliances SEG et y installer des mécanismes de persistance ; elle avait fini par recevoir la note maximale de 10.
Pour les entreprises et administrations qui filtrent leur courrier avec ces boîtiers, souvent placés en première ligne face à Internet, le message est clair : vérifier sans délai la version installée et appliquer la mise à jour, en suivant le guide de durcissement publié par Cisco.
