Cảnh báo lỗ hổng Zero-day CVE-2026-76519 trên Cisco Secure Email Gateway

• Lỗ hổng nghiêm trọng: CVE-2026-76519 với điểm CVSS 9.8 cho phép thực thi mã từ xa (RCE) với quyền root.
• Cơ chế khai thác: Tấn công thông qua các tệp đính kèm email được chế tạo đặc biệt khi tính năng File Reputation được kích hoạt.
• Phạm vi ảnh hưởng: Các thiết bị chạy AsyncOS với phiên bản Content Scanner Tools cũ hơn 25.3.0.5525.
• Khuyến nghị: Cập nhật ngay lập tức lên các phiên bản AsyncOS 15.5.5-014 hoặc 16.5.0-780.

Các nhà nghiên cứu bảo mật vừa công bố thông tin về một lỗ hổng zero-day nghiêm trọng, được định danh là CVE-2026-76519, đang bị khai thác tích cực trong thực tế nhắm vào các thiết bị Cisco Secure Email Gateway. Lỗ hổng này cho phép kẻ tấn công không cần xác thực có thể chiếm quyền điều khiển root trên thiết bị thông qua việc gửi các tệp đính kèm email được thiết kế đặc biệt.

Phân tích kỹ thuật về lỗ hổng CVE-2026-76519

Lỗ hổng nằm trong tính năng Advanced Malware Protection (AMP) của Cisco Secure Email Gateway. Cụ thể, quá trình xử lý tệp đính kèm của gateway gặp lỗi khi tính năng File Reputation được kích hoạt. Kẻ tấn công có thể lợi dụng điểm yếu này để ghi các tệp tùy ý vào hệ thống và thực thi lệnh với đặc quyền cao nhất (root), từ đó kiểm soát hoàn toàn hệ điều hành bên dưới.

Điểm đáng chú ý là vector tấn công không yêu cầu người dùng cuối phải tương tác như nhấp vào liên kết hay mở tệp đính kèm. Thay vào đó, quá trình khai thác diễn ra ngay tại thời điểm gateway xử lý tệp tin trong luồng email. Điều này làm tăng đáng kể mức độ nguy hiểm của lỗ hổng đối với các hạ tầng mạng doanh nghiệp.

Điều kiện kích hoạt và phạm vi ảnh hưởng

Lỗ hổng ảnh hưởng đến cả thiết bị vật lý và ảo chạy phần mềm AsyncOS. Để một thiết bị trở thành mục tiêu khai thác, cần thỏa mãn hai điều kiện tiên quyết sau:

• Cấu hình: Tính năng File Reputation phải được kích hoạt và gán cho một chính sách thư (mail policy).
• Phiên bản: Gói Content Scanner Tools phải cũ hơn phiên bản 25.3.0.5525.

Cisco xác nhận rằng các sản phẩm như Cisco Secure Email and Web Manager và Secure Web Appliance không bị ảnh hưởng bởi lỗ hổng này. Các quản trị viên hệ thống cần kiểm tra phiên bản hiện tại bằng lệnh CLI chuyên dụng.

# Kiểm tra phiên bản Content Scanner Tools hiện tại trên thiết bị: contentscannerstatus

Hướng dẫn săn tìm mối đe dọa (Threat Hunting)

Do tính chất của các cuộc tấn công zero-day, việc kiểm tra dấu vết xâm nhập là vô cùng quan trọng. Cisco khuyến nghị các đội ngũ vận hành thực hiện rà soát nhật ký hệ thống trên tất cả các thiết bị trong cụm (cluster) để tìm kiếm các dấu hiệu bất thường.

Các bước thực hiện rà soát bao gồm:

• Kiểm tra nhật ký: Sử dụng lệnh grep "System Security" system_logs để tìm kiếm các hoạt động đáng ngờ.
• Giám sát mạng: Kiểm tra nhật ký tường lửa và lưu lượng mạng để phát hiện các kết nối tải lên/tải xuống bất thường từ gateway tới các địa chỉ IP lạ.
• Phân tích bằng chứng: Nếu phát hiện dấu hiệu xâm nhập, cần thực hiện quy trình ứng cứu sự cố (Incident Response) và bảo lưu mọi bằng chứng kỹ thuật để phục vụ điều tra chuyên sâu.

Giải pháp khắc phục và Hardening hệ thống

Cisco đã phát hành các bản vá cho các phiên bản AsyncOS bị ảnh hưởng. Việc cập nhật là bắt buộc để đóng lại vector tấn công này. Người dùng có thể tham khảo thêm thông tin tại Cơ sở dữ liệu lỗ hổng quốc gia (NVD).

Các phiên bản đã được vá bao gồm:

• AsyncOS 15.5.5-014
• AsyncOS 16.5.0-780

Đối với các tổ chức đang sử dụng phiên bản 16.0, Cisco khuyến nghị nâng cấp lên phiên bản đã được vá. Đối với các phiên bản cũ hơn 16.5, việc nâng cấp lên 16.5.0-780 là ưu tiên hàng đầu. Ngoài ra, quản trị viên có thể cập nhật gói Content Scanner Tools mà không cần khởi động lại hệ thống bằng lệnh sau:

# Cập nhật gói Content Scanner Tools: contentscannerupdate

⚠️ Cảnh báo quan trọng: Việc cập nhật bản vá chỉ giúp ngăn chặn các cuộc tấn công mới. Nếu hệ thống đã bị xâm nhập trước đó, kẻ tấn công có thể đã thiết lập các cửa sau (backdoor) hoặc xóa dấu vết. Do đó, việc kiểm tra toàn diện hệ thống sau khi vá là bước không thể bỏ qua.