Cisco, 14 Ekim 2026’da Secure Email Gateway ürünü için kritik bir duyuru yayımladı. CVE-2026-76519 numaralı açık, kimlik doğrulaması olmayan uzak bir saldırganın cihazın işletim sisteminde rastgele dosya yazmasına izin veriyor. Cisco PSIRT, Ekim 2026 içinde açığın aktif olarak istismar edildiğini öğrendiğini belirtiyor. ABD siber güvenlik kurumu CISA aynı gün açığı Bilinen İstismar Edilen Açıklar (KEV) kataloğuna ekledi.
Ne oldu
Açık, CWE-23 (göreli yol geçişi) sınıfında ve CVSS 3.1 ölçeğinde 9,8 puan aldı. Sorun, e-posta ağ geçidinin dosya itibarı (File Reputation) hizmetinin kullandığı içerik tarama bileşeninde. Zafiyetli bir cihazda saldırgan, özel hazırlanmış bir girdiyle işletim sistemi üzerinde istediği konuma dosya yazabiliyor; bu da cihazın ele geçirilmesine kadar uzanabiliyor. Cisco, açığı iç güvenlik taraması sırasında bulduğunu yazıyor; dış bir araştırmacı adı geçmiyor.
Duyuruda ele geçirme belirtilerini (IOC) kontrol etmek için sistem günlüklerinde aranacak kayıt da veriliyor. Cisco, ele geçirildiğinden şüphelenilen sanal cihazlar için yamalı sürümle yeni bir sanal makine kurulmasını ve yapılandırmanın eski dosyalar içe aktarılmadan yeniden oluşturulmasını istiyor; ele geçirilmiş bir cihazı yerinde yükseltmenin adli verileri ve günlükleri yok edeceğini belirtiyor. Fiziksel cihazlarda Cisco’nun teknik destek merkeziyle (TAC) iletişime geçilmesi isteniyor.
Kimleri etkiler
Etkilenen ürün Cisco Secure Email Gateway’in fiziksel ve sanal sürümleri. Açığın tetiklenmesi için iki koşul birlikte gerekiyor: File Reputation hizmetinin etkin ve bir posta ilkesine atanmış olması; Content Scanner Tools bileşeninin 25.3.0.5525’ten eski bir sürümde olması. Cisco, Secure Email and Web Manager ile Secure Web Appliance ürünlerinin bu açıktan etkilenmediğini açıkça yazıyor.
E-posta ağ geçitleri doğası gereği internetten gelen postayı kabul eder; bu yüzden saldırı yüzeyi doğrudan dışa açık. Aktif istismar bilgisiyle birlikte düşünüldüğünde, bu ürünü kullanan her kurumun yalnız güncelleme yapması değil, günlükleri Cisco’nun verdiği belirtilere göre geriye dönük taraması da gerekiyor.
Üretici ne öneriyor
Cisco, açığı gideren bir geçici çözüm bulunmadığını belirtiyor. Düzeltilmiş sürümler: 15.5 dalında 15.5.5-014, 16.5 dalında 16.5.0-780; 16.0 dalı için düzeltilmiş bir dala geçiş isteniyor. Content Scanner Tools 25.3.0.5525 ve sonraki sürümleri düzeltmeyi içeriyor; bu bileşen cihaz güncellenmeden de güncellenebiliyor.
Üretici ayrıca duyurudaki günlük kontrolünün yapılmasını, ele geçirme şüphesi varsa sanal cihazın yamalı sürümle yeniden kurulup yapılandırmanın eski dosyalar olmadan yeniden oluşturulmasını, fiziksel cihazlarda teknik destek merkeziyle iletişime geçilmesini öneriyor. Duyurunun tamamı, belirti listesi ve sürüm tablosu yan sütundaki bağlantıda. CISA’nın KEV kaydı, federal kurumlara düzeltme için 17 Ekim’e kadar süre verdi.
