Започни с една отметка. В управлението на шлюза, под Advanced Malware Protection, пише „Enable File Reputation“. Сложена ли е, мини на втората проверка: версията на Content Scanner Tools. Ако и тя е под 25.3.0.5525, шлюзът е засегнат.
Това е същият шлюз, който Cisco закърпи преди месец. Пак едно писмо, пак root, пак без вход и без заобиколно решение. Друга е вратата: този път през прикачения файл, който шлюзът проверява за зловреден код.
Факт
Фактите: на 14 октомври 2026 г. Cisco публикува бюлетин за CVE-2026-76519 в Cisco Secure Email Gateway, физически и виртуален. Cisco го оценява като критичен, с 9.8 по CVSS и слабост CWE-23. Уязвимостта е във функцията Advanced Malware Protection (AMP) и идва от неправилна обработка на прикачени файлове, когато услугата за репутация на файлове е включена. Неавтентикиран отдалечен нападател праща през засегнато устройство писмо с подготвен прикачен файл и може да записва произволни файлове и да изпълнява команди с root права в операционната система. Засегнато е устройство, при което и двете условия са верни: File Reputation е включен и вързан към пощенска политика, а Content Scanner Tools е по-стар от 25.3.0.5525. Заобиколно решение няма. Поправените издания са 15.5.5-014 и 16.5.0-780; за 16.0 Cisco пише да се мине към поправено издание. Поправката идва и с Content Scanner Tools 25.3.0.5525 или по-нов, който не иска обновяване на софтуера или рестарт. По данни на Cisco екипът ѝ за сигурност е разбрал за активна експлоатация през октомври 2026 г.; дупката е намерена при вътрешно сканиране. Secure Email and Web Manager и Secure Web Appliance не са засегнати. На 14 октомври CISA вписа дупката в каталога на експлоатираните уязвимости (KEV) със срок 17 октомври. Същия ден CISA вписа и CVE-2026-0322: уязвимост за изпълнение на код в интерфейса за управление на PAN-OS на Palo Alto Networks, която иска влязъл нападател с достъп до мрежата и дава root права на защитната стена. Palo Alto Networks съобщава, че е наблюдавана много ограничена експлоатация и че известно заобиколно решение няма; Cloud NGFW и Prisma Access не са засегнати. Срокът на CISA и за двете е 17 октомври и важи за гражданските федерални агенции в САЩ. И за двете каталогът по директивата BOD 26-04 изисква и криминалистична проверка дали системата вече е пробита.
Има и добра новина. Поправката не чака обновяване на целия софтуер: пътува и като пакет за Content Scanner Tools, без рестарт. Ако автоматичните обновявания са включени, след като пакетът дойде, нямаш какво да правиш. Ако си ги изключил, командата е contentscannerupdate.
Журналът е отделна работа. В system_logs търсиш редовете „System Security“, на всеки шлюз, ако са в клъстер. Има ли следа, не бързай с обновяването: за виртуалния уред Cisco казва първо да се запазят данните за разследване, защото обновяването на пробит екземпляр ги унищожава.
Кръпката може да дойде сама. Проверката на журнала - не.
Останалото е като преди месец. Ако нападателят е стигнал до root, може да е изтрил следите си, затова Cisco съветва да се сверят и дневниците на защитната стена и мрежата около устройството. А в клъстер SSH ключовете между шлюзовете може вече да са у него и Cisco съветва да се възстанови всеки член на клъстер с поне едно пробито устройство.
PAN-OS е по-тесен случай. Нужен е нападател, влязъл с високи права, и достъп до интерфейса за управление. Рискът е най-голям, когато интерфейсът се вижда от интернет; Palo Alto Networks съветва достъпът да е само от доверени вътрешни адреси. Поправените версии са в таблицата на бюлетина, например 12.2.4, 11.2.16 или 10.2.18-h12.
Дупката преди месец не питаше за настройки. Тази пита, и отговорът стои в една отметка и един номер на версия.
Източници
Cisco Security Advisory (CVE-2026-76519) - Secure Email Gateway Arbitrary File Write, 14.10.2026Palo Alto Networks - PAN-OS (CVE-2026-0322), 14.10.2026NVD - CVE-2026-76519NVD - CVE-2026-0322CISA KEV (CVE-2026-76519, CVE-2026-0322)Визуалът към статията е генериран код-арт, без чужди изображения.