מייל אחד מספיק: פרצת יום אפס בשער הדואר של Cisco מאפשרת השתלטות ברמת root
Cisco אישרה ב-14 בספטמבר ניצול פעיל של CVE-2026-76461 ב-Secure Email Gateway. תוקף שולח הודעה מעוצבת ומריץ פקודות על המכשיר, בלי סיסמה ובלי שאף אחד יפתח את המייל.
TL;DR בקצרה
- CVE-2026-76461 קיבלה ציון 9.8 מתוך 10 ומאפשרת להריץ פקודות root דרך הודעת דואר עם פקודות SQL זדוניות.
- פגיעים כל מכשירי Secure Email Gateway הפיזיים והווירטואליים, בכל תצורה. גם שירות הענן נפגע ועודכן על ידי Cisco.
- הגרסאות המתוקנות הן 15.5.5-014, 16.0.4-302 ו-16.5.0-780, ו-Cisco ממליצה לעבור ל-16.5.0-780. אין פתרון עוקף.
- Cisco ממליצה לחפש סימני פריצה ביומני הדואר ולחדש סיסמאות ומפתחות במכשירים שנפרצו.
שער הדואר הוא המכשיר שאמור לעצור הודעות זדוניות לפני שהן מגיעות לעובדים. הפעם הוא עצמו היה המטרה. Cisco פרסמה ב-14 בספטמבר 2026 התרעה על חולשה קריטית ב-Secure Email Gateway. החולשה מסומנת CVE-2026-76461, וקיבלה ציון 9.8 מתוך 10 בסולם CVSS, המדד המקובל לחומרת חולשות.
תוקפים כבר מנצלים את החולשה בפועל. היא מאפשרת לתוקף להריץ פקודות על המכשיר בהרשאות root באמצעות הודעת דואר אחת.
הודעה עם SQL זדוני, ופקודות על מערכת ההפעלה
לפי ההתרעה הרשמית של Cisco, הבעיה בקוד שמפרק ומנתח הודעות דואר נכנסות. הקוד הוא חלק ממערכת AsyncOS, מערכת ההפעלה של המכשיר. הקוד לא מסנן כראוי את מה שמגיע בהודעה.
לכן תוקף יכול לשתול בתוכה פקודות SQL, שפת השאילתות של מסדי נתונים. כשהמכשיר מעבד את ההודעה, הפקודות האלה רצות. משם התוקף מגיע להרצת פקודות על מערכת ההפעלה עצמה בהרשאות הגבוהות ביותר.
זה תרחיש קשה במיוחד. התוקף לא צריך שם משתמש או סיסמה. הוא גם לא צריך שאיש בארגון יפתח את ההודעה או ילחץ על משהו. מספיק שהמייל יעבור דרך שער הדואר.
Cisco מציינת שהחולשה התגלתה במהלך טיפול בקריאת תמיכה. לדברי Cisco, בספטמבר 2026 צוות האבטחה שלה זיהה ניצול פעיל. החברה לא ייחסה את התקיפות לקבוצה מסוימת.
מי בסיכון ב-Secure Email Gateway ואיך מתקנים
החולשה משפיעה על כל מכשירי Cisco Secure Email Gateway, פיזיים ווירטואליים, בלי קשר להגדרות שלהם. לפי Help Net Security, החולשה פגעה גם בשירות הענן Secure Email Cloud.
Cisco עדכנה בעצמה את כל מכשירי הענן לגרסה 16.5.0-780. היא פנתה ישירות ללקוחות שבמכשירים שלהם זוהתה פעילות זדונית. מוצרים אחרים במשפחה, Secure Email and Web Manager ו-Secure Web Appliance, לא פגיעים.
אין פתרון עוקף, והדרך היחידה היא עדכון. הגרסאות המתוקנות הן 15.5.5-014 למי שנמצא בענף 15.5 ומטה, 16.0.4-302 לענף 16.0 ו-16.5.0-780 לענף 16.5. Cisco ממליצה בחום שכל מי שמפעיל גרסה שקדמה ל-16.5 יעבור ישירות ל-16.5.0-780.
סוכנות הסייבר האמריקאית CISA הוסיפה את החולשה לרשימת החולשות המנוצלות שלה באותו יום. היא חייבה את משרדי הממשל הפדרלי לטפל בה עד 17 בספטמבר.
למה תיקון ב-Secure Email Gateway לא מספיק
תוקף שהשיג הרשאות root יכול למחוק עקבות, להשאיר דלת אחורית ולגנוב סיסמאות ומפתחות שמאוחסנים במכשיר. לכן Cisco לא מסתפקת בהמלצה לעדכן.
במכשירים וירטואליים היא ממליצה לשמור תחילה את המידע לחקירה. אחר כך ההמלצה היא להקים מכונה חדשה על גרסה מתוקנת ולבנות את ההגדרות מחדש. בסיום יש לחדש את כל הסיסמאות והאישורים הקריפטוגרפיים.
במכשירים פיזיים שיש חשד שנפרצו, ההמלצה היא לפנות לתמיכה של Cisco. מי שמפעיל כמה מכשירים באשכול צריך לדעת שמפתחות ה-SSH ביניהם עלולים להיחשף. לכן פריצה לאחד מחייבת לטפל בכולם.
זו לא הפעם הראשונה שמכשירי הדואר של Cisco מותקפים. Help Net Security מזכירה את CVE-2025-20393, חולשת יום אפס שקדמה לה ב-AsyncOS. לפי הדיווחים מדצמבר 2025, קבוצה שחשודה בקשר לסין ניצלה אותה. היא שתלה דלתות אחוריות ומחקה יומנים.
מה זה אומר עבורכם
- עדכנו מיד: הארגון מפעיל Secure Email Gateway במקום? ודאו שהוא על 15.5.5-014, 16.0.4-302 או 16.5.0-780. עדיף על האחרונה. אם ספק IT מנהל את המכשיר, בקשו ממנו אישור בכתב.
- חפשו סימני פריצה ביומנים: Cisco ממליצה לחפש ביומני mail_logs פקודות SQL חשודות. למשל, את הביטוי COPY ואחריו TO PROGRAM. כל תוצאה עלולה להעיד על תקיפה. באשכול, בדקו כל מכשיר.
- הצליבו עם יומנים חיצוניים: תוקף ברמת root יכול למחוק עקבות. לכן בדקו בחומת האש העברות נתונים לא צפויות מהמכשיר לכתובות חיצוניות.
- אם יש חשד, חדשו הכול: סיסמאות ניהול, חשבונות שירות שמחוברים לשער, מפתחות ואישורים.
- צמצמו חשיפה: הפרידו בין ממשק הדואר לממשק הניהול, וחסמו גישה לממשק הניהול מהאינטרנט. כבו HTTP ו-FTP אם הם לא בשימוש. שלחו יומנים לשרת חיצוני.
מה הלאה
Cisco סימנה את ההתרעה כסופית ב-17 בספטמבר. היא פרסמה חוקי זיהוי ל-Snort שמסייעים לזהות ניסיונות ניצול ברשת. ארגונים שהתעכבו בעדכון צריכים להניח שתוקפים כבר סרקו את המכשיר שלהם. עליהם לטפל בו כמו באירוע, ולא רק כמו בעדכון שגרתי.
מקורות והרחבה
- Cisco Secure Email Gateway SQL Injection Vulnerability (cisco-sa-esa-inj-2bLVGmhX)Cisco
- Cisco patches actively exploited email gateway zero-day (CVE-2026-76461)Help Net Security
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
