Cisco Secure Email Gateway'deki Kritik Açık Aktif Saldırılarda Kullanılıyor

Cisco, Secure Email Gateway ürünündeki kritik bir güvenlik açığının aktif saldırılarda istismar edildiğini duyurdu. Şirketin Çarşamba günü yayımladığı danışma metnine göre, CVE-2026-76519 olarak izlenen ve CVSS puanı 9.8 olan açık, kimlik doğrulaması olmayan bir göndericinin e-posta ağ geçidinin işletim sistemine dosya yazmasına olanak tanıyor. Saldırgan, ağ geçidi üzerinden özel olarak hazırlanmış bir ek içeren e-posta gönderiyor ve başarılı olması halinde root yetkisiyle komut çalıştırabiliyor. Cisco, açığı kendi iç güvenlik taramalarında tespit ettiğini ve saldırılardan Ekim ayında haberdar olduğunu bildirdi.
Danışma metni, kaç cihazın saldırıya uğradığını, saldırıların arkasında kimin olduğunu veya saldırganların herhangi bir cihazda root yetkisi elde edip etmediğini belirtmiyor. Cisco, yönetilen Secure Email Cloud hizmetindeki cihazlarında "olası ele geçirilme göstergeleri" tespit edilen müşterilerle iletişime geçtiğini ve iyileştirme ile kurtarma çalışmalarını sürdürdüğünü açıkladı.

Açık Nasıl Çalışıyor ve Kimler Etkileniyor​

E-posta ağ geçidi, bir kurumun e-postalarını spam, kötü amaçlı yazılım ve diğer tehditlere karşı filtreliyor. Açığın istismar edilebilmesi için iki koşulun aynı anda sağlanması gerekiyor. File Reputation hizmetinin etkinleştirilmiş ve bir posta politikasına atanmış olması ve Content Scanner Tools paketinin 25.3.0.5525 sürümünden daha eski olması gerekiyor. File Reputation, ekleri işleyen Advanced Malware Protection (AMP) özelliğinin bir parçası.
Bu iki koşulu sağlayan fiziksel ve sanal ağ geçitleri, savunmasız AsyncOS sürümlerinde etkileniyor. Secure Email and Web Manager ve Secure Web Appliance ürünleri etkilenmiyor. İlk koşulu kontrol etmek için Mail Policies > Incoming Mail Policies > Advanced Malware Protection veya Outgoing Mail Policies altındaki aynı yol izlenerek bir posta politikası seçilmesi ve Enable File Reputation kutusuna bakılması gerekiyor. İkinci koşul için komut satırında contentscannerstatus komutunu çalıştırmak gerekiyor; bu komut sürümü ve son güncellenme zamanını gösteriyor.

Nasıl Düzeltilir: Scanner Güncellemesi ve AsyncOS Sürümleri​

Cisco'ya göre en hızlı çözüm yolu scanner güncellemesi. Content Scanner Tools için otomatik güncellemeleri açık olan ağ geçitlerinde, güncelleme uygulandıktan sonra ek bir işlem gerekmiyor; ancak güncellemenin geldiği varsayılmamalı ve contentscannerstatus ile sürümün 25.3.0.5525 veya üzeri olduğu doğrulanmalı. Otomatik güncellemelerin kapalı olduğu yerlerde, komut satırında contentscannerupdate komutu çalıştırılmalı veya Security Services > Service Updates altında otomatik güncellemeler açılmalı.
Düzeltme, 14 Eylül'den bu yana AsyncOS içinde de yer alıyor. Cisco'nun o gün yayımladığı sertleştirme sürümünde (hardening release) listelenen düzeltilmiş yapılar bu açığı da kapsıyor. Ayrıca Content Scanner Tools güncellemesi olan 25.3.0.5525 veya üzeri sürüm, yazılım yükseltmesi veya yeniden başlatma gerektirmeden yükleniyor.
Danışma metninde listelenen ilk düzeltilmiş sürümler şöyle:

• 15.5: 15.5.5-014
• 16.0: düzeltilmiş yapı yok. Düzeltilmiş bir sürüme geçiş yapılması gerekiyor.
• 16.5: 16.5.0-780
• Content Scanner Tools (tüm lisanslı ve desteklenen AsyncOS sürümleri): 25.3.0.5525 veya üzeri

\nCisco, 16.5'ten önceki herhangi bir ağ geçidinin 16.5.0-780 sürümüne geçmesini öneriyor. Eylül ayındaki SQL enjeksiyon açığını düzelten 16.0.4-302 yapısındaki bir 16.0 ağ geçidi, bu dosya yazma açığı için düzeltilmiş değil. Danışma metni, scanner güncellemesi için hangi sürümlerin lisanslı ve desteklenen olarak sayıldığını listelemiyor. 16.0'da kalmaya devam eden bir ağ geçidi için danışma metninin sunduğu tek doğrulama, contentscannerstatus ile görülen scanner sürümü. Açık için geçici bir çözüm (workaround) bulunmuyor.
Yönetilen ağ geçitlerinin yöneticileri, ele geçirilme kontrolünü çalıştırmak için gereken komut satırı erişimine sahip olmayabilir. Cisco, bu yönetilen cihazlarda düzeltilmiş scanner'ı zaten dağıttığını, bu nedenle düzeltmeyi almak için ek bir işlem gerekmediğini belirtiyor.

Sızıntı Kontrolü Nasıl Yapılır​

Cisco'nun istismar girişimine yönelik kontrolü, cihaz üzerinde tek bir komut: grep "System Security" system_logs. Komut üç mesajdan birini döndürüyor:

• System Security: Suspected compromise indicator was found. Contact TAC for further recommendations. (Şüpheli ele geçirilme göstergesi bulundu. Daha fazla öneri için TAC ile iletişime geçin.) Ele geçirilme tespit edildi. Aşağıdaki kurtarma adımlarını izleyin.
• System Security: Security scan did not complete. Contact TAC for further recommendations. (Güvenlik taraması tamamlanmadı. TAC ile iletişime geçin.) Cisco'nun Teknik Destek Merkezi (TAC) ile iletişime geçin.
• System Security: No compromise indicator was found. (Ele geçirilme göstergesi bulunamadı.) Bu kontrol ile ele geçirilme tespit edilmedi. Cihaz etkilenen bir sürümdeyse yükseltme yapın.

\nKomutun bir kümedeki (cluster) her üye üzerinde çalıştırılması gerekiyor. Temiz bir sonuç kanıt değil; root yetkisi elde eden bir saldırgan kanıtları silebilir veya gizleyebilir. Bu nedenle cihaz dışındaki güvenlik duvarı ve ağ günlüklerinin de harici IP adreslerine beklenmedik yüklemeler veya kötü amaçlı adreslerden indirmeler açısından kontrol edilmesi öneriliyor. Danışma metni, taramanın neyi aradığını belirtmiyor. Sanal cihazda ele geçirilme belirtileri gösteren durumlarda Cisco, ele geçirilmiş bir örneği yükseltmenin adli verileri ve günlükleri yok edeceği uyarısında bulunuyor.

Cihaz Ele Geçirildiyse İzlenecek Adımlar​

Fiziksel cihazlar için Cisco, müşterilerin TAC ile iletişime geçmesini ve mühendislerin inceleme yapabilmesi için uzaktan erişimi etkinleştirmesini istiyor. Sanal cihazlar için adımlar şöyle sıralanıyor: Önce adli verileri koruyun. Ele geçirilmiş bir örneği yükseltmek günlükleri ve kanıtları yok eder. Düzeltilmiş bir sürümde yeni bir sanal makine dağıtın. Yapılandırmayı önceki hiçbir yapılandırma dosyasını içe aktarmadan yeniden oluşturun. Cihazdaki kimlik bilgilerini ve kriptografik materyali yenileyin, ardından olağandışı davranışlara karşı izlemeye devam edin.
Küme üyeleri birbirlerine SSH anahtar çiftleri ile kimlik doğrulaması yapıyor. Ele geçirilmiş bir üyenin özel anahtarları saldırgana diğer üyelere geçiş yolu sağlayabilir. Bu nedenle Cisco, en az bir ele geçirilmiş cihaz içeren bir kümedeki her üyenin geri yüklenmesini öneriyor. Kendisiyle iletişime geçilen Secure Email Cloud müşterilerinden de mümkün olan yerlerde kimlik bilgilerini ve kriptografik materyali yenilemeleri isteniyor.

Eylül Sertleştirme Sürümü ve Diğer Açıklarla Bağlantısı​

Bu, Cisco'nun bir ay içinde saldırı altında olduğunu doğruladığı ikinci Secure Email Gateway açığı. 14 Eylül'de Cisco, CVE-2026-76461 numaralı, ağ geçidinin e-posta ayrıştırmasındaki bir SQL enjeksiyon açığını açıklamıştı. Bu açık, özel hazırlanmış bir e-posta yoluyla kimliği doğrulanmamış bir göndericinin root olarak komut çalıştırmasına izin verebiliyor, her yapılandırmayı etkiliyor ve aynı gün CISA'nın Bilinen İstismar Edilen Açıklar kataloğuna eklenmişti. İki açık yazılımın farklı bölümlerinde yer alıyor, farklı günlük kontrollerine sahip ve Cisco saldırıları birbiriyle ilişkilendirmedi.
Aynı gün Cisco, ağ geçidi ve Secure Email and Web Manager için dahili olarak bulunan hataları zayıflık sınıfına göre beş şemsiye CVE altında grupladığı bir sertleştirme sürümü yayımlamıştı: CVE-2026-76440, CVE-2026-76441, CVE-2026-20353 ve CVE-2026-76443, her biri 9.8 puanlı, ve CVE-2026-76442 7.5 puanlı. Her puan, o sınıftaki hatalar arasındaki en yüksek puan ve danışma metni 15.5.5-014 ve 16.5.0-780 yapılarını taşıyordu. Cisco bu danışma metnini Çarşamba günü güncelledi ve artık "İkisinden aktif olarak istismar edildiği biliniyor" diyor: yol geçişi (path traversal) sınıfında yer alan dosya yazma açığı ve uygunsuz etkisizleştirme sınıfında yer alan Eylül ayındaki SQL enjeksiyon açığı. Şirket, sürümdeki diğer hatalara yönelik saldırı bilgisine sahip değil.
Cisco'nun Haziran ayında belirlediği açıklama politikasına göre, sertleştirme sürümlerinde düzeltilen hatalar gruplandırılmış CVE'leri paylaşıyor ve bir açık, diğer nedenlerin yanı sıra aktif olarak istismar edildiği bilindiğinde kendi CVE'sini alıyor. Dosya yazma açığı Eylül ayında yol geçişi grubu içinde düzeltilmiş ve Çarşamba günü kendi danışma metnini almıştı. Bu aynı zamanda, Cisco Talos'un UAT-9686 olarak izlediği Çin bağlantılı bir grubun Aralık ayından bu yana bu cihazlarda istismar edildiğini doğruladığı üçüncü root seviyesindeki açık; grup, spam karantina özelliğindeki ve Cisco'nun Ocak ayında yamayla kapattığı CVE-2025-20393 numaralı sıfırıncı gün açığını kullanmıştı.

Sıkça Sorulan Sorular​

CVE-2026-76519 açığı nasıl istismar ediliyor?​

Saldırgan, ağ geçidi üzerinden özel hazırlanmış bir ek içeren e-posta gönderiyor. Başarılı olursa ağ geçidinin işletim sistemine dosya yazabiliyor ve ardından root olarak komut çalıştırabiliyor. Cisco açığı kendi iç güvenlik taramasında buldu ve saldırıları Ekim ayında tespit etti.

Hangi cihazlar bu açıktan etkileniyor?​

Yalnızca iki koşulun aynı anda sağlandığı cihazlar etkileniyor: File Reputation hizmetinin etkin ve bir posta politikasına atanmış olması ve Content Scanner Tools sürümünün 25.3.0.5525'ten eski olması. Fiziksel ve sanal ağ geçitleri etkileniyor; Secure Email and Web Manager ve Secure Web Appliance etkilenmiyor.

Açık nasıl kapatılır, hangi sürümlere güncellenmeli?​

En hızlı yol Content Scanner Tools'u 25.3.0.5525 veya üzeri sürüme güncellemek; bu güncelleme yazılım yükseltmesi veya yeniden başlatma gerektirmiyor. Otomatik güncellemeler açıksa contentscannerstatus ile doğrulama yapılmalı, kapalıysa contentscannerupdate çalıştırılmalı. Tam AsyncOS düzeltmesi 15.5.5-014 ve 16.5.0-780 sürümlerinde; 16.0 için düzeltilmiş yapı yok ve 16.5.0-780'e geçiş öneriliyor. Geçici çözüm bulunmuyor.

Cihazın ele geçirilip geçirilmediği nasıl kontrol edilir?​

Cihazda grep "System Security" system_logs komutu çalıştırılıyor. Sonuçta şüpheli gösterge bulundu, tarama tamamlanmadı veya gösterge bulunamadı mesajlarından biri dönüyor. Komut kümedeki her üyede çalıştırılmalı. Temiz sonuç kesin kanıt değil; root yetkisi alan saldırgan izleri silebileceği için harici güvenlik duvarı ve ağ günlükleri de kontrol edilmeli.

Bu açık Eylül ayındaki diğer Cisco açıklarıyla bağlantılı mı?​

Evet, dolaylı bağlantısı var. Açık, 14 Eylül'deki sertleştirme sürümünde yol geçişi sınıfı altında düzeltilmişti ve Çarşamba günü ayrı CVE aldı. Aynı sürümdeki CVE-2026-76461 numaralı SQL enjeksiyon açığı da aktif saldırıda kullanılıyor. Cisco iki açığın yazılımın farklı bölümlerinde olduğunu ve saldırıların birbiriyle ilişkilendirilmediğini belirtiyor.