Krytyczna luka w Cisco Secure Email Gateway pozwala spreparowanym e-mailem wykonać polecenia jako root. Cisco i CISA potwierdzają ataki, obejść brak. Zaktualizuj do 16.5.0-780 i sprawdź logi.
Ten alert jest dla zarządu, CTO i CFO firm, które filtrują firmową pocztę przez Cisco Secure Email Gateway (dawniej IronPort) na własnych urządzeniach fizycznych lub wirtualnych. Werdykt: jeśli Wasza bramka ma AsyncOS starszy niż 15.5.5-014, 16.0.4-302 lub 16.5.0-780, zaktualizujcie ją dziś i sprawdźcie ślady włamania, bo do przejęcia urządzenia wystarczy jeden spreparowany e-mail.
Cisco 14 września 2026 roku opublikowało krytyczny biuletyn o luce CVE-2026-76461, a amerykańska agencja CISA tego samego dnia dopisała ją do katalogu KEV, czyli listy podatności, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Cisco potwierdza, że we wrześniu 2026 roku dowiedziało się o aktywnym wykorzystaniu. Według Rapid7 wpis do KEV w dniu publikacji wskazuje, że luka była atakowana jako zero-day, zanim pojawiła się poprawka.
Luka pozwala osobie z internetu, bez żadnego konta, wysłać przez bramkę specjalnie przygotowaną wiadomość i w ten sposób uruchamiać polecenia z najwyższymi uprawnieniami (root) na urządzeniu, które chroni firmową pocztę. Termin naprawy wyznaczony przez CISA agencjom federalnym upływa dziś, 17 września 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-76461 |
Data dodania do CISA KEV | 2026-09-14 |
Termin naprawy wg CISA | 2026-09-17 (3 dni od wpisu, czyli dziś) |
Produkt | Cisco AsyncOS dla Cisco Secure Email Gateway, urządzenia fizyczne (np. C195, C395, C695) i wirtualne (np. C100V, C300V, C600V). Nie dotyczy Secure Email and Web Manager ani Secure Web Appliance |
Wersje zagrożone | 15.5 i starsze przed 15.5.5-014; 16.0 przed 16.0.4-302; 16.5 przed 16.5.0-780. Cisco: niezależnie od konfiguracji urządzenia |
Wersje bezpieczne | 15.5.5-014, 16.0.4-302, 16.5.0-780. Cisco zdecydowanie zaleca 16.5.0-780. Urządzenia Cisco Secure Email Cloud Cisco zaktualizowało samo |
Typ podatności | Wstrzyknięcie SQL w analizie wiadomości e-mail, prowadzące do wykonania poleceń jako root; CWE-89 |
Ocena CVSS | Cisco: 9.8 (CVSS 3.1, KRYTYCZNA). NVD nie wystawił własnej oceny. Atak przez sieć, bez konta i bez udziału użytkownika |
Wyobraź sobie firmową kancelarię, w której każdy list przechodzi przez ręce pracownika sortowni: otwiera kopertę, sprawdza, czy nie ma w niej nic niebezpiecznego, i wpisuje dane do rejestru. Pracownik ma klucze do wszystkich szaf. Okazuje się, że jeśli w liście znajdzie się odpowiednio sformułowane „polecenie służbowe”, pracownik wpisze je do rejestru tak, że rejestr sam wykona to polecenie, np. „wydaj klucze doręczycielowi”.
Cisco Secure Email Gateway jest taką sortownią dla poczty elektronicznej. Z definicji przyjmuje wiadomości od każdego nadawcy z internetu, bo tak działa poczta. Dlatego ta luka jest wyjątkowo groźna: nie trzeba łamać haseł ani szukać otwartego panelu administracyjnego, wystarczy wysłać e-mail do firmy.
💡 Bramka pocztowa (Secure Email Gateway) to urządzenie, które filtruje całą pocztę firmy: spam, wirusy, phishing. Wstrzyknięcie SQL to błąd, w którym dane z zewnątrz trafiają do bazy danych jako polecenia. Root to konto z pełną władzą nad systemem urządzenia. Zero-day to luka wykorzystywana, zanim producent wydał poprawkę. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
E-mail od nieznanego nadawcy | Bramka sprawdza go i przepuszcza lub blokuje | Spreparowany e-mail uruchamia polecenia na bramce |
Uprawnienia atakującego | Brak | Pełne uprawnienia root na urządzeniu |
Poczta przechodząca przez bramkę | Chroniona i filtrowana | Może być podglądana lub modyfikowana przez atakującego |
Logi urządzenia | Wiarygodny zapis zdarzeń | Atakujący może usunąć ślady (ostrzeżenie Cisco) |
Obejście bez aktualizacji | Zwykle dostępne dla części luk | Cisco: brak obejść, tylko aktualizacja |
źródło: Pexels, Timothy HuliselanPoniżej typowy przebieg ataku dla tej klasy podatności, dopasowany do opisu Cisco. To scenariusz poglądowy: luka nie wymaga konta ani kliknięcia przez pracownika, a CISA ocenia atak jako możliwy do zautomatyzowania. Cisco ani inne źródła nie ujawniły szczegółów zaobserwowanych kampanii.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wybór celu | T-dni | Ustalenie, które firmy używają Cisco Secure Email Gateway (np. z publicznych rekordów poczty) | Lista celów |
2. Wysłanie wiadomości | T+0 min | Wysłanie spreparowanego e-maila do dowolnego adresu w firmie | Bramka przetwarza wiadomość |
3. Przejęcie urządzenia | T+sekundy do minut | Wykonanie poleceń z uprawnieniami root | Pełna kontrola nad bramką |
4. Zacieranie śladów | T+minuty | Usuwanie wpisów z logów urządzenia | Trudniejsze wykrycie |
5. Utrwalenie i rozpoznanie | T+godziny | Pozostawienie dostępu, pobieranie narzędzi, sprawdzanie sieci | Stała obecność w strefie brzegowej sieci |
6. Wykorzystanie | T+dni | Podgląd poczty, kradzież poświadczeń i certyfikatów, dalsze ataki | Wyciek korespondencji, oszustwa, włamanie głębiej |
Bramka pocztowa widzi każdą wiadomość firmy i stoi na granicy sieci z internetem. Cisco ostrzega, że atakujący z uprawnieniami root mogą ukryć ślady na urządzeniu, dlatego sama aktualizacja nie wystarczy: trzeba sprawdzić, czy włamanie nie nastąpiło przed nią. CISA wymaga dla tej luki analizy śledczej.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Awaryjna aktualizacja, możliwa odbudowa urządzenia, przerwy w dostarczaniu poczty | Godziny do dni | 20 tys. do 150 tys. PLN (przestój poczty, wsparcie zewnętrzne) |
Bezpieczeństwo danych | Wyciek korespondencji, danych klientów i poświadczeń z urządzenia | Minuty od ataku | 50 tys. do 400 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Oszustwa na zmianę numeru konta, szantaż, kary umowne | Dni do tygodni | 50 tys. do 1 mln PLN łącznie, zależnie od przelewów |
Reputacyjny | Utrata zaufania klientów i partnerów, których korespondencja wyciekła | Tygodnie do miesięcy | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia danych osobowych do UODO w ciągu 72 godzin, przy wysokim ryzyku także powiadomienia osób; kary RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; tajemnica przedsiębiorstwa i obowiązki umowne | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z własną bramką Cisco Secure Email Gateway
Wpływ
5 | . . . . ■ ← KRYTYCZNA
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo
Każda bramka przyjmuje pocztę z internetu, więc nie ma
„bezpiecznej” konfiguracji podatnej wersji (Cisco). Interpretacja: wpływ jest maksymalny, bo chodzi o pełne przejęcie urządzenia widzącego całą pocztę, a prawdopodobieństwo najwyższe, bo luka była wykorzystywana jako zero-day, nie wymaga konta i działa niezależnie od konfiguracji; to sytuacja KRYTYCZNA.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać wszystkie bramki Cisco Secure Email Gateway (fizyczne, wirtualne, u dostawcy usług) z wersją AsyncOS | Dziś | Administrator poczty |
2 | 🔴 NATYCHMIAST | Przed aktualizacją zabezpieczyć logi i dane śledcze urządzeń (zalecenie Cisco dla urządzeń wirtualnych) | Dziś | Administrator / zespół bezpieczeństwa |
3 | 🔴 NATYCHMIAST | Zaktualizować do 16.5.0-780 (zalecane przez Cisco) albo odpowiednio 16.0.4-302 lub 15.5.5-014 | Dziś | Administrator poczty / partner Cisco |
4 | 🔴 NATYCHMIAST | Przejrzeć logi poczty na każdym urządzeniu klastra według wskaźników z biuletynu Cisco oraz logi firewalla i sieci pod kątem nietypowych połączeń z bramki | Dziś | Zespół bezpieczeństwa |
5 | 🟠 PILNIE | Przy śladach włamania: urządzenie fizyczne zgłosić do Cisco TAC; wirtualne odbudować z nowej maszyny, odtworzyć konfigurację, wymienić hasła, klucze i certyfikaty | Do 3 dni | CTO / Cisco TAC |
6 | 🟠 PILNIE | Klienci Cisco Secure Email Cloud: sprawdzić, czy Cisco nie przysłało powiadomienia o wykrytej aktywności, i wymienić poświadczenia, jeśli tak | Do 3 dni | CTO |
7 | 🟡 WAŻNIE | Wdrożyć utwardzenie wg Cisco: rozdzielić interfejsy poczty i zarządzania, zablokować panel administracyjny z internetu, wysyłać logi na zewnętrzny serwer | Do 30 dni | Administrator sieci |
Cisco wydało poprawki dla gałęzi 15.5, 16.0 i 16.5 i wprost podaje, że nie ma obejść tej podatności. Poniższe miary nie zamykają luki, bo atak przychodzi zwykłą pocztą; mogą jedynie ograniczyć skutki lub ułatwić wykrycie. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Blokada dostępu do panelu administracyjnego z internetu i rozdzielenie interfejsów (utwardzenie wg Cisco) | Niska wobec tej luki, ogranicza inne drogi ataku | Średnia |
Filtrowanie ruchu wychodzącego z bramki do internetu tylko do niezbędnych usług | Średnia: utrudnia pobieranie narzędzi i wysyłanie danych | Średnia |
Wysyłanie logów na zewnętrzny serwer | Niska jako ochrona, kluczowe do wykrycia, bo lokalne logi mogą być usunięte | Łatwa |
Czasowe przekierowanie poczty przez inną, aktualną usługę filtrowania | Wysoka | Trudna, wymaga zmian rekordów MX i przygotowania |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja AsyncOS | Podatna, np. 16.0.3 | 16.5.0-780 (zalecana) lub inne wydanie z poprawką |
Ryzyko przejęcia przez e-mail | Jeden e-mail wystarczy | Luka zamknięta |
Wiedza o włamaniu | Brak | Logi urządzenia, sieci i firewalla sprawdzone |
Poświadczenia i certyfikaty na urządzeniu | Mogły wyciec | Wymienione, jeśli były ślady |
Logi | Tylko na urządzeniu | Kopia na zewnętrznym serwerze |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA i Cisco). CISA w ocenie SSVC: wykorzystanie aktywne, atak automatyzowalny, wpływ techniczny całkowity. Według Rapid7 wykorzystywana jako zero-day |
Grupy przestępcze | Brak publicznych informacji: Rapid7 w dniu publikacji nie znał atrybucji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA wg Cisco (CVSS 3.1) |
PoC dostępny publicznie? | NIE w dniu publikacji (Rapid7); stan późniejszy niepotwierdzony |
Liczba atakowanych firm | Brak publicznych danych: Cisco nie ujawniło skali ataków. Cisco kontaktowało się bezpośrednio z klientami chmurowymi, u których wykryto złośliwą aktywność |
Źródło odkrycia | Cisco: luka wykryta podczas obsługi zgłoszenia w Cisco TAC |
Sygnały zagrożenia dla CVE-2026-76461
CVSS 3.1 (Cisco) 9.8/10 ████████████████████ KRYTYCZNA
CISA KEV TAK ████████████████████ wpis w dniu publikacji
Zero-day (Rapid7) TAK ████████████████████ atak przed poprawką
Obejścia (Cisco) BRAK ░░░░░░░░░░░░░░░░░░░░ tylko aktualizacja
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2026-09 Cisco PSIRT dowiaduje się o aktywnym wykorzystaniu
(podczas obsługi zgłoszenia w Cisco TAC)
2026-09-14 Biuletyn cisco-sa-esa-inj-2bLVGmhX, poprawki 15.5.5-014,
16.0.4-302, 16.5.0-780; publikacja CVE
2026-09-14 Wpis do katalogu CISA KEV (w dniu publikacji)
2026-09-15 Aktualizacja wpisu w NVD
2026-09-17 Termin naprawy wg CISA dla agencji federalnych
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta z wersjami, wskaźnikami włamania i instrukcją odbudowy: cisco-sa-esa-inj-2bLVGmhX . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-76461 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma ma własne bramki Cisco Secure Email Gateway i w jakich wersjach | CTO | DZISIAJ |
2 | Zatwierdzić awaryjną aktualizację w godzinach pracy, z krótką przerwą w dostarczaniu poczty | CTO | DZISIAJ |
3 | Otrzymać potwierdzenie wdrożenia wersji z poprawką na każdym urządzeniu | CTO | DZISIAJ |
4 | Otrzymać wynik przeglądu logów urządzeń, sieci i firewalla | CTO | DO JUTRA |
5 | Zarezerwować budżet na analizę powłamaniową i ewentualną odbudowę urządzeń | CFO | DO JUTRA |
6 | Uczulić księgowość na prośby o zmianę numerów kont otrzymane e-mailem i wymagać potwierdzenia telefonicznego | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia i terminy zgłoszenia incydentu | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy nasza poczta przechodzi przez Cisco Secure Email Gateway, własną lub w chmurze Cisco? | [własna / chmura / nie] | 🔴 |
2 | Jaka wersja AsyncOS jest na każdym urządzeniu? | [wersja] | 🔴 |
3 | Kiedy wdrożyliśmy 16.5.0-780 lub inne wydanie z poprawką? | [data] | 🔴 |
4 | Czy zabezpieczyliśmy logi przed aktualizacją? | TAK / NIE | 🔴 |
5 | Czy logi poczty, sieci i firewalla wykazały ślady ataku? | TAK / NIE, [data przeglądu] | 🔴 |
6 | Jakie hasła, klucze i certyfikaty są zapisane na bramce i czy trzeba je wymienić? | [lista], TAK / NIE | 🟠 |
7 | Czy logi bramki są kopiowane na zewnętrzny serwer i jak długo przechowywane? | TAK / NIE, [liczba dni] | 🟡 |
CVE-2026-76461 pozwala przejąć Cisco Secure Email Gateway z uprawnieniami root za pomocą jednego spreparowanego e-maila, a Cisco i CISA potwierdzają ataki, według Rapid7 jeszcze przed publikacją poprawki. Cisco nie przewiduje obejść, więc jedyną ochroną jest aktualizacja, najlepiej do 16.5.0-780. Ze względu na możliwość usunięcia śladów przez atakujących trzeba też sprawdzić logi spoza urządzenia i w razie wątpliwości odbudować bramkę oraz wymienić poświadczenia.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.