Cisco Secure Email Gateway'de istismar edilen kritik sıfırıncı gün açığı yamalandı

Cisco, kurumsal e-posta güvenliği ürünü Secure Email Gateway'de (SEG) aktif olarak istismar edilen kritik bir güvenlik açığını kapattı. 14 Ekim'de yayımlanan güvenlik bülteninde CVE-2026-76519 koduyla izlenen açığın CVSS puanı 9,8 olarak verildi. Şirketin ürün güvenliği ekibi PSIRT, açığın Ekim ayı içinde saldırılarda kullanıldığını tespit ettiğini bildirdi.

Tek bir e-posta eki yetebiliyor

Sorun, Gelişmiş Kötü Amaçlı Yazılım Koruması (AMP) özelliğinin e-posta eklerini işleme biçimindeki göreli dizin geçişi (path traversal) hatasından kaynaklanıyor. Cisco'ya göre kimlik doğrulaması gerektirmeyen uzaktaki bir saldırgan, yamasız cihaz üzerinden özel hazırlanmış ek içeren bir e-posta geçirerek sistemde rastgele dosya yazabiliyor ve alttaki işletim sisteminde root yetkisiyle komut çalıştırabiliyor. Yani saldırının tetiklenmesi için bir kullanıcının dosyayı açması gerekmiyor; ekin ağ geçidi tarafından işlenmesi yeterli.

Açık, AsyncOS'un etkilenen sürümlerini çalıştıran, Dosya İtibarı (File Reputation) hizmeti etkin ve bir posta politikasına atanmış, Content Scanner Tools sürümü 25.3.0.5525'ten eski olan fiziksel ve sanal SEG cihazlarını etkiliyor. Secure Email and Web Manager ile Secure Web Appliance ürünlerinin etkilenmediği doğrulandı.

Geçici çözüm yok, güncelleme şart

Cisco, açığı giderecek bir geçici çözüm bulunmadığını açıkça belirtiyor. Düzeltme, 15.5 serisi için 15.5.5-014, 16.5 serisi için 16.5.0-780 sürümlerinde yer alıyor; 16.0 kullanıcılarının düzeltilmiş bir sürüme geçmesi gerekiyor. Content Scanner Tools'un 25.3.0.5525 veya üstü sürümü de yeniden başlatma gerektirmeden yamayı içeriyor. Şirket, bulut tabanlı cihazlarda önlemleri kendisi uyguladığını ve olası ihlal tespit ettiği müşterilerle iletişime geçtiğini açıkladı.

BleepingComputer'ın aktardığına göre Cisco, sistem yöneticilerine güvenlik duvarı ve ağ kayıtlarında dış IP adresleriyle yapılan şüpheli veri alışverişlerini incelemelerini, şüpheli cihazlarda kimlik bilgilerini ve şifreleme anahtarlarını yenilemelerini öneriyor. Saldırganların izlerini silebileceği uyarısı da yapılıyor. Shadowserver verilerine göre internete açık yaklaşık 300 SEG örneği bulunuyor. CISA'nın Kasım 2021'den bu yana istismar edilen açıklar kataloğuna 100 Cisco açığı eklediği, bunlardan yedisinin fidye yazılımı saldırılarında kullanıldığı da hatırlatılıyor. E-posta ağ geçitleri kurumların dış dünyaya açılan ilk kapılarından biri olduğu için, Türkiye'de bu ürünü kullanan kurumların sürüm kontrolünü vakit kaybetmeden yapması önem taşıyor.

Kaynak: Cisco, BleepingComputer