Celah Cisco Secure Email Gateway CVSS 9,8 Dieksploitasi, Lampiran Surel Bisa Beri Akses Root

Peretas tidak perlu membujuk siapa pun membuka lampiran. Cukup mengirimkannya ke gateway surel yang seharusnya menyaring ancaman, dan alat pengaman itu sendiri menjadi pintu masuk.

Cisco pada Rabu (14/10/2026) mengonfirmasi bahwa CVE-2026-76519, celah path traversal di fitur Advanced Malware Protection (AMP) pada Cisco Secure Email Gateway (SEG), sudah dieksploitasi. Menurut The Hacker News, celah ini bernilai CVSS 9,8. Penyerang tanpa autentikasi dapat menulis file di sistem operasi perangkat dan menjalankan perintah dengan hak root hanya lewat surel berlampiran buatan.

Dua Syarat yang Membuat Perangkat Rentan

Tidak semua gateway terdampak. Perangkat rentan bila layanan File Reputation aktif dan terpasang pada kebijakan surel, serta versi Content Scanner Tools lebih lama dari 25.3.0.5525. Gateway fisik maupun virtual pada rilis AsyncOS yang rentan terdampak, sedangkan Secure Email and Web Manager dan Secure Web Appliance tidak. Cisco menemukan celah ini lewat pemindaian keamanan internalnya.

BleepingComputer melaporkan bahwa Cisco PSIRT mengetahui eksploitasi aktif pada Oktober 2026. Cisco belum membuka jumlah perangkat yang diserang, pelaku di baliknya, ataupun apakah penyerang benar-benar mendapat akses root.

Perbaikan Tersedia, tapi Tidak Ada Solusi Sementara

Cisco menyatakan tidak ada workaround. Perbaikan berupa AsyncOS 15.5.5-014 untuk jalur 15.5 dan AsyncOS 16.5.0-780 untuk jalur 16.5, yang tersedia sejak 14 September. Jalur 16.0 tidak punya build perbaikan, dan build 16.0.4-302 tidak menambal celah ini, sehingga pengguna diminta pindah ke rilis yang sudah diperbaiki. Opsi lain ialah memasang Content Scanner Tools 25.3.0.5525 atau lebih baru, tanpa restart.

Cara Memeriksa dan Memulihkan Perangkat

Versi Content Scanner Tools bisa dicek lewat perintah contentscannerstatus di antarmuka baris perintah. Cisco juga menyediakan pemeriksaan indikator kompromi: administrator menjalankan grep "System Security" system_logs pada tiap anggota klaster, lalu membaca satu dari tiga pesan hasil. Pesan "tidak ada indikator kompromi" tidak membuktikan perangkat bersih, dan Cisco mengingatkan penyerang dengan hak root dapat menghapus jejak.

Untuk appliance virtual yang terindikasi diretas, data forensik harus diamankan lebih dulu karena pembaruan menghapus log. Setelah itu, Cisco menyarankan membuat VM baru di rilis yang sudah diperbaiki, membangun ulang konfigurasi tanpa mengimpor file lama, dan memperbarui kredensial serta materi kriptografi. Pelanggan Secure Email Cloud yang terkelola dan menunjukkan kemungkinan kompromi sudah dihubungi Cisco.

Rentetan Celah Root di Perangkat yang Sama

Ini celah ketiga dengan hak root pada appliance tersebut yang dikonfirmasi dieksploitasi sejak Desember 2025. Sebelumnya ada CVE-2025-20393, zero-day yang dipakai kelompok UAT-9686 yang dikaitkan dengan China dan ditambal Januari 2026, serta CVE-2026-76461, injeksi SQL yang diungkap September dan langsung masuk katalog CISA. Cisco belum mengaitkan celah September dan Oktober. Shadowserver mencatat hampir 300 instans SEG terbuka ke internet.

Menurut Help Net Security, Cybersecurity and Infrastructure Security Agency (CISA) menambahkan celah Cisco ini ke katalog Known Exploited Vulnerabilities bersama tiga celah lain: CVE-2026-0322 di PAN-OS milik Palo Alto Networks (CVSS 8,6) serta dua celah Ahsay AhsayCBS, CVE-2026-105133 dan CVE-2026-105134, yang dirangkai untuk memasang webshell dan penambang kripto. Lembaga federal sipil AS diberi tenggat hingga 17 Oktober 2026. The Hacker News sendiri tidak mencantumkan tenggat CISA untuk celah Cisco ini.

Kasus ini menyusul rangkaian tiga zero-day Ivanti Connect Secure yang diliput sebelumnya: perangkat tepi jaringan kembali jadi sasaran favorit.

Yang masih ditunggu adalah rincian dari Cisco, mulai dari siapa pelakunya sampai berapa perangkat yang sudah ditembus. Bagi administrator yang belum memeriksa log, tenggat 17 Oktober bagi lembaga federal AS bisa jadi patokan waktu yang masuk akal.