O que você precisa fazer: verificar se o serviço de File Reputation está ligado e associado a alguma política de e-mail e qual é a versão da Content Scanner Tools. Se estiver abaixo da 25.3.0.5525, aplicar a atualização dessa ferramenta, que não exige upgrade do AsyncOS nem reinício. Em seguida migrar o AsyncOS para 15.5.5-014 ou 16.5.0-780, conforme a linha. Não existe paliativo oficial: desligar a reputação de arquivo ou pôr um MTA de retenção na frente do gateway troca função por exposição e serve apenas para ganhar horas.
Depois disso, procurar indício de comprometimento. A Cisco grava uma mensagem de System Security no log do sistema, e a checagem precisa ser feita em cada membro do cluster. Como um atacante com root altera log local, a confirmação tem que vir de fora da caixa: log de correio do salto anterior, fluxo de rede e registro de firewall.
A falha está no componente que examina anexo em busca de malware, a reputação de arquivo do Advanced Malware Protection. Durante o processamento, o caminho do arquivo não é tratado corretamente, o que permite que quem envia o anexo escolha onde a gravação vai acontecer. É travessia de diretório, classificada como CWE-23, e a nota é 9.8.
O detalhe que muda a gravidade é quem executa a gravação. O fluxo de correio do aparelho roda privilegiado, então o arquivo é escrito como root. A Cisco diz que isso pode levar à execução de comando com privilégio de root, e não explica no aviso como se chega da gravação à execução. Até 15 de outubro não havia prova de conceito pública, e o registro na base nacional americana continuava em análise.
A sequência de ataque é curta demais para confortar
O atacante não precisa de conta, de sessão, de acesso prévio nem de clique de ninguém. Precisa que o endereço de destino exista e que a mensagem chegue ao gateway. O anexo é processado antes da entrega, que é exatamente o propósito do produto, e é durante esse processamento que a gravação acontece. Não há usuário para treinar nem alerta para o time de SOC ignorar.
Vale medir o que isso significa para o resto do ambiente. Um gateway de e-mail corporativo guarda ou intermedia conta de serviço de LDAP ou Active Directory, autenticação SMTP, token de API e certificado. Comprometido o gateway, tudo isso vai junto, e por isso a orientação de rotação de credencial aparece em todas as leituras sérias do caso, mesmo quando o aparelho é só atualizado.
Quem está exposto, de fato
| Item | Situação |
|---|---|
| Aparelho físico ou virtual com File Reputation ligado e em política | Vulnerável se a Content Scanner Tools for anterior à 25.3.0.5525 |
| Content Scanner Tools 25.3.0.5525 ou mais nova | Corrigido, sem upgrade do AsyncOS nem reinício |
| AsyncOS 15.5 | Corrigido na 15.5.5-014 |
| AsyncOS 16.5 | Corrigido na 16.5.0-780 |
| AsyncOS 16.0 | Precisa migrar para versão corrigida |
| Secure Email and Web Manager e Secure Web Appliance | Não afetados |
| Cisco Secure Email Cloud Gateway | Sem ação necessária |
A pegadinha está na primeira linha. É comum encontrar ambiente onde a reputação de arquivo foi habilitada em algum momento e nunca mais revisada, ou onde ela está ligada mas não associada a nenhuma política. A diferença entre vulnerável e não vulnerável mora nessa associação, e a resposta não está no número de versão. Confirme na configuração em vez de supor.
Exploração confirmada, origem não
A Cisco afirma que em outubro de 2026 seu PSIRT tomou conhecimento de exploração ativa. A empresa publicou indicadores, avisou os clientes cujos aparelhos mostraram sinal de possível comprometimento e aplicou as mitigações que estão sob o controle dela. Não há atribuição pública, não há detalhe de campanha e não há indicador de rede divulgado. A falha entrou no catálogo americano de vulnerabilidades exploradas em 14 de outubro, com prazo de 17 de outubro para as agências federais.
Essa escassez de indicador tem uma consequência prática desagradável. Sem IOC de rede, a caça depende de telemetria própria: mensagem de entrada com anexo processada pela reputação de arquivo antes do horário do patch, arquivo alterado fora de janela conhecida de atualização, entrada de agendamento nova, binário novo, e conexão de saída que um gateway de correio não deveria estabelecer. Um relay de e-mail que fala com endereço estranho em porta estranha é o sinal mais barato de todos, e vem do firewall, não do aparelho.
Atualizar não limpa
Um aparelho corrigido não é um aparelho confiável se houve comprometimento. A orientação, nesse caso, é reconstruir a partir de imagem conhecida como boa e restaurar configuração de antes da janela de exposição, e só então rotacionar credencial e certificado. No aparelho virtual existe uma ordem que não pode ser invertida: coletar evidência antes de atualizar, porque o upgrade de uma instância comprometida destrói dado forense e log. No aparelho físico, acionar o suporte da Cisco antes de mexer.
Há ainda o problema de confiança no próprio registro. Um atacante com root apaga ou maquia log local, e foi exatamente o que aconteceu em outros casos de equipamento de borda nas últimas semanas. Qualquer conclusão tirada só do log da caixa vale pouco. A confirmação precisa vir do que já saiu dela: envio de syslog para o SIEM, fluxo de rede e log do salto anterior do correio.
No dia 17 de outubro, a mesma lista de falhas sob exploração ativa trazia Ivanti Connect Secure, PAN-OS, produtos Atlassian, Ahsay, FortiOS e o BeyondTrust Remote Support. Seis dos nove são equipamento de perímetro ou de acesso remoto. Para quem precisa escolher a ordem de trabalho da semana, é essa a fila.
Outros sinais do dia
- Condição
Só é vulnerável quem tem a reputação de arquivo ligada e amarrada a uma política de e-mail
São duas condições simultâneas: o serviço de File Reputation habilitado e associado a pelo menos uma política, e a Content Scanner Tools em versão anterior à 25.3.0.5525. O Secure Email and Web Manager e o Secure Web Appliance não são afetados, e quem usa o gateway em nuvem da Cisco não precisa agir.
- Atalho
A correção mais rápida não exige atualizar o AsyncOS nem reiniciar o aparelho
A Content Scanner Tools 25.3.0.5525 fecha o caminho e se aplica sozinha. Quem desligou a atualização automática pode forçar pela linha de comando. A migração do AsyncOS continua recomendada, mas é o segundo passo, não o primeiro.
- Verificação
A Cisco deixou um indicador na própria caixa, e ele tem três respostas possíveis
Procurar por mensagens de System Security no log do sistema, em cada membro do cluster. Uma delas indica comprometimento detectado, outra diz que a checagem não terminou e é inconclusiva, e a terceira diz que nada foi encontrado. As duas primeiras pedem acionamento do suporte da Cisco.
- Vizinhança
É a terceira linha de produto de borda da Cisco explorada em cinco semanas
A Talos relatou em 9 de setembro a exploração de duas falhas no Secure Firewall Management Center, e uma segunda falha de execução de comando como root no próprio gateway de e-mail passou a ser explorada depois da metade de setembro. O gateway de e-mail é o terceiro da fila.
Fontes e aprofundamento
- SecurityWeek · Cisco Warns of Exploited Secure Email Gateway Vulnerability, com a confirmação de exploração pelo PSIRT da Cisco, a publicação de indicadores e o prazo das agências federais.
- ZeroHunt · Cisco Secure Email Gateway CVE-2026-76519: root file write from a single email, com a classificação CWE-23, as condições de exposição, o roteiro de caça e o que ainda não é público.
- TechNadu · Cisco Secure Email Gateway Flaw CVE-2026-76519 Is Under Active Attack With No Workaround, com as versões corrigidas, a ausência de paliativo e a ordem de coleta forense no aparelho virtual.
- CVE Brief · CVE Brief, 17 de outubro de 2026, com as nove falhas exploradas do dia, entre elas Ivanti, Palo Alto, Atlassian, Ahsay e BeyondTrust.