CVE-2026-76519 : Cisco Email Gateway RCE root CVSS 9.8

Les faits

Le 14 octobre 2026, Cisco a publie l'advisory cisco-sa-seg-path-traversal-2026 revelant CVE-2026-76519, une vulnerabilite critique de traversee de chemin relative (CWE-23) dans la fonctionnalite Advanced Malware Protection (AMP) File Reputation de Cisco Secure Email Gateway. La faille est cotee CVSS 3.1 a 9.8 (Critical), avec un vecteur d'attaque reseau, complexite faible, aucun privilege requis et aucune interaction utilisateur necessaire. Il s'agit d'un cas rare de vulnerabilite dans une solution de securite email permettant de compromettre l'infrastructure de securite elle-meme via les emails qu'elle est censee filtrer. CISA l'a ajoute au catalogue Known Exploited Vulnerabilities le jour meme.

Techniquement, CVE-2026-76519 est un defaut dans la facon dont la fonctionnalite AMP File Reputation traite les pieces jointes lors de leur analyse de reputation. Lorsqu'une piece jointe est recue et soumise au moteur AMP pour verification, le systeme construit un chemin de fichier temporaire a partir de metadonnees extraites de la piece jointe elle-meme. En forgeant ces metadonnees avec des sequences de traversee de chemin (../../), un attaquant peut controler l'emplacement d'ecriture du fichier traite, deposant ainsi des fichiers arbitraires dans des repertoires systeme critiques. La combinaison de l'ecriture de fichier arbitraire et de la nature des repertoires accessibles permet une execution de commandes en tant que root sans aucune authentification prealable.

L'exploitation ne necessite aucune authentification prealable, aucun compte sur l'appliance, et aucune interaction d'un administrateur ou d'un utilisateur final. Il suffit d'envoyer un email avec une piece jointe forgee a n'importe quelle adresse traitee par l'appliance vulnerable. L'appliance analyse automatiquement la piece jointe dans le cadre de son flux de travail normal, declenchant l'exploitation de maniere entierement automatique. Selon l'analyse de Cyber Experts, la condition d'exposition requiert que la fonctionnalite AMP File Reputation soit activee et assignee a au moins une politique de messagerie entrante ou sortante, et que le Content Scanner Tools installe soit anterieur a la version 25.3.0.5525.

Cisco PSIRT a confirme avoir pris connaissance d'exploitations actives de CVE-2026-76519 en conditions reelles en octobre 2026. CISA a ajoute la vulnerabilite a son catalogue KEV le 14 octobre 2026, le jour meme de la publication de l'advisory Cisco. Selon Penligent, c'est la deuxieme vulnerabilite exploitee dans Cisco Secure Email Gateway en 30 jours, une concentration inhabituelle suggerant un interet cible de groupes de menace organises pour ce vecteur d'attaque permettant de s'implanter dans les infrastructures de messagerie d'entreprise.

D'un point de vue defensif, CVE-2026-76519 cree une situation paradoxale : la solution censee proteger les utilisateurs contre les pieces jointes malveillantes devient elle-meme le vecteur de compromission de l'infrastructure de securite. Une appliance Email Gateway compromise represente un acces privilegie a l'ensemble du flux de messagerie de l'organisation — capacite d'intercepter, modifier ou supprimer silencieusement des emails entrants et sortants, acces aux archives de messagerie, et potentiellement pivot vers d'autres systemes du reseau interne. Ce niveau de visibilite est particulierement critique dans les organisations ou Cisco Secure Email Gateway sert de passerelle unique.

La surface d'attaque est particulierement insidieuse car les appliances Email Gateway sont, par nature, accessibles depuis Internet pour recevoir des emails. Un attaquant n'a pas besoin de connaitre l'adresse email d'un utilisateur specifique. Il lui suffit de localiser l'appliance Cisco Secure Email Gateway d'une organisation via Shodan, Censys ou des scans des enregistrements MX DNS, puis d'envoyer un email avec une piece jointe forgee directement au serveur. La portee potentielle inclut donc toutes les organisations dont l'enregistrement MX pointe vers une appliance vulnérable.

Selon l'advisory Cisco, la condition de vulnerabilite est precise : l'appliance doit avoir AMP File Reputation active dans au moins une politique de messagerie (entrante ou sortante), et le Content Scanner Tools installe doit etre anterieur a la version 25.3.0.5525. Les appliances n'utilisant pas la fonctionnalite AMP, ou dont cette fonctionnalite est desactivee dans toutes les politiques, ne sont pas exposees a CVE-2026-76519. Cisco recommande de verifier la configuration via CLI avec la commande ampconfig puis status.

Selon DecryptionDigest, CVE-2026-76519 s'inscrit dans une tendance 2026 d'exploitation croissante des appliances de securite perimetrique comme vecteur d'entree initial : ces equipements combinent exposition directe sur Internet, acces privilegie aux flux de communication internes, et relative sous-surveillance dans les programmes de patch management. Les organisations considerent parfois ces appliances comme stables et ne necessitant pas de mise a jour frequente — une hypothese que les acteurs de menace exploitent systematiquement.

Cyberexperts.com a documente que les attaquants exploitant CVE-2026-76519 en conditions reelles utilisent des pieces jointes de types apparemment legitimes (PDF, documents Office) avec des metadonnees forgees dans les en-tetes MIME. Le moteur AMP de l'appliance traite automatiquement ces pieces jointes, declenchant l'exploitation sans qu'aucun filtre antispam ne soit en mesure de l'intercepter — les emails malveillants peuvent en effet avoir toutes les apparences d'emails legitimes aux yeux des filtres de contenu standards.

Impact et exposition

Cisco Secure Email Gateway est l'une des solutions de filtrage email les plus deployees en entreprise a l'echelle mondiale, presente dans des secteurs critiques : gouvernemental, financier, sante, telecommunications, defense et infrastructure critique. Une compromission donne a l'attaquant un acces root sur l'appliance, la capacite d'intercepter silencieusement l'ensemble du flux email, et un point de pivot strategique vers les systemes internes sans lever l'alarme des solutions de detection reseau traditionnelles.

La condition d'exploitation — envoyer un email avec une piece jointe forgee — est a la portee de tout acteur malveillant. Il n'est pas necessaire de connaitre les utilisateurs de l'organisation ni de les convaincre d'ouvrir quoi que ce soit. L'appliance traite automatiquement le mail malveillant dans le cadre de son flux de travail normal, sans aucune action humaine requise cote victime.

Les organisations les plus exposees sont celles utilisant Cisco Secure Email Gateway avec AMP active (anciennement Cisco Email Security Appliance / Cisco IronPort ESA), n'ayant pas mis a jour le package Content Scanner Tools, et dont les appliances sont directement accessibles sur le port 25 depuis Internet. Les deploiements en mode cloud-managed peuvent avoir une exposition differente selon la configuration AMP specifique.

Recommandations immediates

• Mettre a jour le package Content Scanner Tools vers la version 25.3.0.5525 ou ulterieure — via CLI : commande update puis updatenow sur l'appliance
• Verifier l'etat AMP sur toutes les appliances : commande CLI ampconfig puis status — desactiver temporairement AMP File Reputation si la mise a jour immediate est impossible
• Auditer les logs systeme de l'appliance pour detecter des creations de fichiers anormales dans des repertoires systeme depuis le 1er octobre 2026
• Appliquer l'advisory Cisco cisco-sa-seg-path-traversal-2026 dans son integralite et verifier si des mises a jour logicielles complementaires sont requises
• Surveiller les connexions reseau sortantes inhabituelles depuis l'appliance Email Gateway (indicateur potentiel d'un canal C2 post-exploitation)
• En cas de compromission suspectee : isoler l'appliance, realiser une analyse forensique, et contacter Cisco TAC pour les procedures de remediation specifiques