Cisco: E-posta ağ geçidindeki kritik açıkla root yetkisi ele geçiriliyor

Cisco, Secure Email Gateway (SEG) cihazlarında kimliği doğrulanmamış bir göndericinin root yetkisiyle komut çalıştırmasına imkân veren kritik bir açığın saldırılarda aktif olarak istismar edildiği uyarısında bulundu. BleepingComputer ve The Hacker News'in aktardığına göre CVE-2026-76519 kimliğiyle izlenen ve CVSS 9.8 puan alan açık, savunmasız bir ağ geçidine hazırlanmış ek içeren bir e-posta göndermekle tetiklenebiliyor. Bu da e-posta filtrelemesi için bu cihaza güvenen kurumlar için açığı acil öncelikli hale getiriyor.

Neler oldu?

The Hacker News'e göre Cisco açığı kendi iç güvenlik testlerinde buldu ve Ekim 2026'da istismar edildiğini fark etti. Şirket tavsiye kararını 14 Ekim Çarşamba günü yayımladı. Her iki yayının aktardığına göre Cisco kaç cihazın etkilendiğini, saldırıların arkasında kimin olduğunu ya da saldırganların belirli sistemlerde root erişimi elde edip etmediğini açıklamadı.

The Hacker News, düzeltmenin aslında 14 Eylül'de yayımlanan bir sıkılaştırma sürümüyle gelmiş olduğunu, Cisco'nun artık bu sürümün söz konusu açığı da kapsadığını belirttiğini yazdı. Cisco ayrıca AsyncOS'un e-posta ayrıştırma bileşenindeki eylül ayında duyurulan SQL enjeksiyonu açığının (CVE-2026-76461) da istismar edildiğini doğruladı; ancak yayına göre şirket iki saldırı dalgası arasında bağlantı kurmadı. Bu, Aralık 2025'ten bu yana Cisco'nun istismar edildiğini doğruladığı üçüncü root seviyesindeki SEG açığı. Bunlardan ilki olan CVE-2025-20393, Çin bağlantılı UAT-9686 grubu tarafından kullanılmıştı.

Teknik detaylar

BleepingComputer, hatayı Advanced Malware Protection (AMP) özelliğinde e-posta eklerinin hatalı işlenmesinden kaynaklanan bir göreli dizin geçişi (path traversal) açığı olarak tanımlıyor. Bir cihazın savunmasız olması için iki koşulun birlikte sağlanması gerekiyor:

• File Reputation hizmetinin etkin olması ve gelen ya da giden bir e-posta politikasına atanmış olması.
• Content Scanner Tools sürümünün 25.3.0.5525'ten eski olması.

Fiziksel ve sanal ağ geçitleri etkileniyor. The Hacker News'e göre Secure Email and Web Manager ile Secure Web Appliance etkilenmiyor.

Kimler etkileniyor?

BleepingComputer'ın aktardığına göre Shadowserver Foundation internete açık yaklaşık 300 SEG örneğini izliyor; bunların kaçının bal küpü olduğu veya zaten güvenceye alındığı bilinmiyor. Cisco, bulut örneklerinde önlemleri devreye aldığını ve olası ele geçirme belirtisi görülen Secure Email Cloud müşterileriyle iletişime geçtiğini açıkladı.

Ne yapmalı?

Geçici bir çözüm bulunmuyor. Yöneticilerin contentscannerstatus CLI komutuyla tarayıcı sürümünü kontrol etmesi ve yeniden başlatma gerektirmeden kurulan Content Scanner Tools 25.3.0.5525 veya üzerine geçmesi gerekiyor. The Hacker News'e göre düzeltilmiş AsyncOS sürümleri 15.5.5-014 ve 16.5.0-780; AsyncOS 16.0 için düzeltme yok ve desteklenen bir sürüme geçilmesi gerekiyor.

Cisco, ele geçirme belirtilerini aramak için kümedeki her cihazda grep "System Security" system_logs komutunun çalıştırılmasını öneriyor. Root erişimi elde eden saldırganlar izlerini silebileceği için temiz bir sonuç ele geçirilme olasılığını dışlamıyor; güvenlik duvarı ve ağ kayıtlarında beklenmeyen yükleme ve indirmeler de incelenmeli. Cisco, ele geçirilen sanal cihazların eski yapılandırma içe aktarılmadan düzeltilmiş sürümle yeniden kurulmasını, kimlik bilgileri ile kriptografik materyalin yenilenmesini ve etkilenen bir kümenin tüm üyelerinin geri yüklenmesini tavsiye ediyor. Şirket, ele geçirilmiş bir cihazı yerinde güncellemenin adli verileri yok edeceği uyarısını da yaptı.