A Cisco corrigiu mais uma vulnerabilidade de dia zero no Secure Email Gateway (SEG), o equipamento que filtra o correio electrónico de muitas organizações antes de este chegar às caixas dos utilizadores. A falha, registada como CVE-2026-76519, recebeu uma classificação de 9,8 em 10 na escala CVSS e permite a um atacante remoto, sem qualquer credencial, escrever ficheiros e executar comandos com privilégios de root no sistema operativo do equipamento.
A própria Cisco confirmou que soube da exploração activa em Outubro de 2026. Um porta-voz da empresa disse ao The Register que o problema afecta um número limitado de clientes, mas recusou dizer quantos equipamentos foram comprometidos ou o que os atacantes fizeram depois de entrar.
Como funciona o ataque
O problema está na funcionalidade Advanced Malware Protection (AMP), que trata mal os anexos de email. Para explorar a falha, basta ao atacante enviar uma mensagem com um anexo preparado para o efeito através de um equipamento sem correcção. Não é preciso que ninguém abra o anexo: é o próprio gateway que o processa.
Estão vulneráveis os equipamentos físicos e virtuais com uma versão afectada do Cisco AsyncOS em que se verifiquem duas condições:
- o serviço File Reputation, parte do AMP, está activo e associado a uma política de correio;
- a versão do Content Scanner Tools é anterior à 25.3.0.5525.
Para confirmar, os administradores podem usar o comando contentscannerstatus na linha de comandos e verificar, na interface web, a opção de activação do File Reputation nas políticas de correio de entrada e de saída.
Sem alternativas à actualização
A Cisco diz que não existem medidas alternativas: a única solução é instalar uma versão corrigida do AsyncOS. Quem ainda usa versões anteriores à 16.5 deve migrar para a 16.5.0-780. Nas instâncias na nuvem, a empresa já aplicou mitigações e contactou os clientes do Cisco Secure Email Cloud onde encontrou sinais de possível compromisso.
A Cisco publicou também mensagens de registo que indicam se o sistema detectou sinais de intrusão, e alerta para um ponto importante: depois de obterem acesso root, os atacantes podem apagar os vestígios no próprio equipamento. Por isso, recomenda que se analisem também os registos da firewall e da rede, à procura de transferências de e para endereços externos ou suspeitos.
A agência norte-americana CISA acrescentou a falha ao seu catálogo de vulnerabilidades exploradas e deu às agências federais um prazo de poucos dias para a corrigir. A Shadowserver contabiliza perto de 300 equipamentos SEG expostos na internet, embora não saiba quantos já estão protegidos.
Um padrão que se repete
Esta é a segunda falha de dia zero no SEG em dois meses. Em Setembro, a Cisco tinha avisado para outra vulnerabilidade explorada, a CVE-2026-76461, que também transformava um email malicioso em acesso root. Em Janeiro, corrigiu a CVE-2025-20393, de gravidade máxima, explorada desde Novembro de 2025 para instalar mecanismos de persistência nestes equipamentos. Em Julho de 2024 houve ainda a CVE-2024-20401, que permitia criar utilizadores com privilégios de root através de anexos maliciosos.
Desde Novembro de 2021, a CISA já incluiu 100 vulnerabilidades de produtos Cisco no seu catálogo de falhas exploradas, sete delas usadas em ataques de ransomware.
Em números
- Julho 2024
Corrigida a CVE-2024-20401, que permitia criar utilizadores root
- Novembro 2025
Começa a exploração da CVE-2025-20393, de gravidade máxima
- Janeiro 2026
Cisco corrige a CVE-2025-20393
- Setembro 2026
Alerta para a CVE-2026-76461, explorada como dia zero
- Outubro 2026
Corrigida a CVE-2026-76519, já explorada antes da correcção
O que muda para as empresas
O gateway de email está, por natureza, virado para a internet e recebe mensagens de qualquer pessoa. Uma falha que dá controlo total a partir de um email coloca o atacante no ponto por onde passa toda a correspondência da empresa, com acesso potencial a mensagens, credenciais e chaves guardadas no equipamento. Como os atacantes conseguem apagar os rastos, a ausência de alertas no próprio equipamento não garante que não houve intrusão.
A repetição de falhas graves no mesmo produto em poucos meses mostra também que actualizar uma vez não chega. Quem depende deste equipamento precisa de um processo regular para acompanhar os avisos do fabricante e aplicar correcções em dias, não em semanas.
O que recomendamos
Confirme hoje se a sua organização usa o Cisco Secure Email Gateway, directamente ou através de um prestador de serviços geridos. Se usar, verifique a versão do Content Scanner Tools e se o File Reputation está activo, e actualize o AsyncOS para uma versão corrigida sem esperar pela próxima janela de manutenção. Depois, reveja os registos da firewall à procura de tráfego anómalo a partir do gateway e, se houver qualquer indício de compromisso, renove credenciais e certificados instalados no equipamento e contacte o suporte da Cisco.
Aproveite para limitar o acesso à interface de gestão a endereços internos autorizados. Se o seu email é gerido por terceiros, incluindo a MCIT, peça confirmação por escrito de que a correcção foi aplicada, de quando foi aplicada e de que os registos foram analisados.
Falar connoscoArtigo preparado com apoio de inteligência artificial, revisto e aprovado por Marco Cerruti, MCIT.
