Cisco Secure Email Gateway: une faille root exploitée signalée
CVE-2026-76461: injection SQL par courriel vers une exécution de commandes en root sur Cisco Secure Email Gateway. Activité détectée, correctif requis.
Qui est touché
- Cisco Secure Email Gateway (boîtier physique ou virtuel), toutes configurations
- AsyncOS versions antérieures aux versions corrigées listées dans l'avis
- Non concerné: Secure Email and Web Manager, Secure Web Appliance
Comment corriger
Appliquer sans délai la version corrigée d'AsyncOS indiquée dans l'avis Cisco (aucun contournement n'existe); rechercher dans les journaux mail_logs toute instruction SQL « COPY ... TO PROGRAM »; vérifier chaque nœud d'un cluster; pour Secure Email Cloud, suivre la notification de Cisco; en cas d'indicateur trouvé, considérer l'appareil compromis, réinstaller et tourner les identifiants.
Ce qui s'est passé
Cisco a porté le 3 novembre 2026 en version 1.2 (« Final ») son avis cisco-sa-esa-inj-2bLVGmhX, publié le 14 septembre, sur une faille d'injection SQL (CWE-89) dans l'analyseur de courriel d'AsyncOS pour Secure Email Gateway. Note Cisco: 9,8. Un courriel spécialement construit qui traverse l'appareil peut déclencher l'exécution de commandes arbitraires avec les privilèges root du système d'exploitation sous-jacent. Aucun contournement n'existe; seul le correctif protège. Surtout, Cisco indique avoir contacté directement des clients dont les appliances Secure Email Cloud ont montré une activité malveillante.
Pourquoi c'est important pour un hôtel
La passerelle de messagerie est le filtre anti-hameçonnage du front desk et du service des réservations: elle voit passer les confirmations de séjour, les coordonnées clients et la correspondance avec les agences. Un attaquant root sur cet appareil lit ce trafic, peut l'altérer et disposer d'un pied dans le réseau du groupe. Pour les hôtels indépendants qui louent une passerelle managée, la question devient une clause de contrat: quelle version, appliqué quand.
Qui est concerné
Cisco Secure Email Gateway, physique ou virtuelle, quelle que soit la configuration. L'avis confirme que Secure Email and Web Manager et Secure Web Appliance ne sont pas vulnérables. Les versions vulnérables et corrigées sont listées dans la section « Fixed Software » de l'avis.
Comment corriger
- Planifier la montée de version d'AsyncOS vers la release corrigée listée dans l'avis Cisco; la fenêtre se planifie hors pics de réservation, mais ne se reporte pas: aucun contournement disponible.
- Rechercher dans les journaux texte (mail_logs) toute correspondance à « COPY ... TO PROGRAM » (grep insensible à la casse), nœud par nœud en cas de cluster.
- Clients Secure Email Cloud sans accès ligne de commande: la détection est à la main de Cisco, qui a dit avoir notifié les clients touchés; vérifier le dossier de notifications.
- En cas d'indicateur trouvé: traiter l'équipement comme compromis, réinstallation propre, rotation des identifiants d'administration et des comptes LDAP/AD joignables depuis le réseau de messagerie.
- Vérifier que la console d'administration n'est jamais joignable depuis l'internet.
Contexte
La faille a été révélée le 14 septembre et le passage en version finale le 3 novembre s'accompagne de la confirmation d'activité malveillante détectée sur l'offre cloud. Elle rappelle le précédent des passerelles mail compromises sans correctif appliqué: le filtre anti-spam devient alors le point d'entrée que l'on croyait fermé.