Cisco Secure Email Gateway : faille critique exploitée dans AsyncOS

En bref

• Le fait. Le 14 octobre 2026, Cisco a publié le bulletin cisco-sa-esa-afw-zqYJkjxp sur CVE-2026-76519, une faille critique d'AsyncOS pour Secure Email Gateway (anciennement Email Security Appliance). Elle permet à un attaquant distant d'exécuter du code et de porter atteinte à l'intégrité des données. Cisco indique qu'elle est activement exploitée depuis octobre 2026. La CISA l'a ajoutée au catalogue KEV le jour même, et le CERT-FR a publié l'avis CERTFR-2026-AVI-1325 le 15 octobre. Source : bulletin Cisco.
• Êtes-vous concerné ? Si votre entreprise filtre ses e-mails avec une passerelle Cisco Secure Email Gateway, physique ou virtuelle, gérée en interne ou par un infogérant. Selon Cisco, la faille touche la fonction Advanced Malware Protection lorsque la réputation de fichiers est activée.
• Quoi faire :
  1. faites mettre à jour AsyncOS en 15.5.5-014 ou 16.5.0-780 (ou ultérieures) ;
  2. faites appliquer la mise à jour des outils d'analyse de contenu indiquée par Cisco (Content Scanner Tools 25.3.0.5525) ;
  3. faites rechercher les indicateurs de compromission décrits par Cisco.
• Urgence : très élevée. Exploitation active confirmée par Cisco, la CISA et le CERT-FR.

Détail technique

Identifiants. CVE-2026-76519, bulletin cisco-sa-esa-afw-zqYJkjxp : défaut de traitement des pièces jointes dans la fonction Advanced Malware Protection (AMP) lorsque le service de réputation de fichiers est activé. Un attaquant distant non authentifié peut, par un message envoyé à l'équipement, écrire des fichiers et exécuter des commandes avec les droits root. Avis CERT-FR : CERTFR-2026-AVI-1325.

Produits et versions.

• Cisco AsyncOS pour Secure Email Gateway 15.5 : versions affectées 15.5.x antérieures à 15.5.5-014 ; version corrigée : 15.5.5-014 ou ultérieure.
• Cisco AsyncOS pour Secure Email Gateway 16.x : versions affectées 16.x antérieures à 16.5.0-780 ; version corrigée : 16.5.0-780 ou ultérieure (la branche 16.0 doit migrer).

KEV. Oui : ajoutée au catalogue KEV de la CISA le 14 octobre 2026.

Exploitation active. Oui, selon Cisco, la CISA et le CERT-FR.

IOC publics. Cisco décrit des indicateurs de compromission dans son bulletin. Nous ne les recopions pas : reportez-vous au bulletin Cisco.

Remédiation.

• Mettre à jour AsyncOS en 15.5.5-014 ou 16.5.0-780 (ou ultérieures). La branche 16.0 doit migrer vers une version corrigée.
• Appliquer la version 25.3.0.5525 des Content Scanner Tools, selon les indications de Cisco.
• En cas de compromission, contacter le support Cisco (TAC) et signaler l'incident au CERT-FR.