Criminosos estão explorando ativamente uma falha crítica no Cisco Secure Email Gateway que permite a um e-mail malicioso conceder acesso irrestrito de administrador máximo ao sistema. A vulnerabilidade tem como solução alternativa aplicar o patch da companhia.
A falha, identificada como CVE-2026-76461, recebeu pontuação 9,8 no sistema de avaliação de vulnerabilidades CVSS (Common Vulnerability Scoring System) e afeta appliances físicos e virtuais do Secure Email Gateway, independentemente de como estiverem configurados. A informação foi divulgada pelo The Register, que acompanha o caso.
O problema está na forma como o software AsyncOS, sistema operacional dos appliances da Cisco, processa mensagens recebidas. Um atacante não precisa de credenciais: basta enviar uma mensagem especialmente construída para o gateway vulnerável. Se o ataque funcionar, o criminoso passa a executar comandos com privilégios de root, o nível mais alto de controle sobre o sistema.
Exploração ativa e clientes afetados
A Equipe de Resposta a Incidentes de Segurança de Produtos da Cisco tomou conhecimento da exploração ativa em setembro de 2026. A empresa não revelou quem está por trás dos ataques, há quanto tempo eles ocorrem nem quantas organizações foram comprometidas. A falha foi descoberta durante a resolução de um caso no Centro de Assistência Técnica da companhia.
Há indícios de que ao menos parte dos clientes do serviço de nuvem da empresa foi afetada. A Cisco diz que investigou dispositivos pertencentes ao seu serviço Secure Email Cloud e contatou diretamente os clientes cujos appliances apresentaram indicadores de possível comprometimento. A companhia afirma que todos os dispositivos do Secure Email Cloud já foram atualizados para a versão AsyncOS 16.5.0-780 e que trabalhos de remediação e recuperação estão em andamento.
Leia mais: Cientista da OpenAI alerta para risco de IA extinguir humanos
Risco para administradores e recomendações
Administradores que operam seus próprios appliances precisam agir por conta própria. A Cisco recomenda verificar os registros de atividade em busca de comportamentos suspeitos; adverte, porém, que a ausência de alertas não garante que o sistema esteja limpo. Isso porque, uma vez com acesso de root, os atacantes podem manipular os próprios registros e apagar rastros da invasão.
A orientação da empresa é que os administradores também verifiquem registros de rede e de firewall, em vez de confiar apenas no próprio gateway como fonte de informação. Para appliances virtuais com suspeita de comprometimento, a recomendação é mais drástica: preservar as evidências forenses, implementar uma nova máquina virtual (VM) com o software corrigido, reconstruir a configuração e substituir credenciais e material criptográfico.
Versões corrigidas e prazo federal
A Cisco corrigiu a vulnerabilidade nas versões AsyncOS 15.5.5-014, 16.0.4-302 e 16.5.0-780. A empresa recomenda fortemente que os clientes migrem para a versão mais recente, a 16.5.0-780.
A Fundação Shadowserver rastreou mais de 400 appliances Cisco Secure Email Gateway expostos à internet na segunda-feira (14). A falha também foi incluída no catálogo de Vulnerabilidades Exploradas Conhecidas da Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA), com determinação para que agências civis federais americanas realizem a remediação até 17 de setembro.
O CVE-2026-76461 surge menos de um ano após criminosos terem explorado outra falha crítica no AsyncOS, a CVE-2025-20393, para invadir appliances do Cisco Secure Email Gateway e instalar mecanismos de persistência. Aquela vulnerabilidade recebeu pontuação máxima de 10 no CVSS. As agências federais americanas têm até a quarta-feira (17) para concluir a correção.
Siga o IT Forum no LinkedIn e fique por dentro de todas as notícias!
