Cisco demande à nouveau à ses clients d'agir rapidement. L'entreprise a « vivement » exhorté à corriger une autre vulnérabilité critique de niveau root dans son Secure Email Gateway (SEG), et la faille a déjà été exploitée dans des attaques zero-day par des acteurs inconnus. Selon The Register, qui cite un porte-parole de Cisco, Cisco et la CISA tirent tous deux la sonnette d'alarme. Pour toute organisation qui achemine son courrier via ces appliances, ce zero-day du Cisco Secure Email Gateway mérite une attention immédiate, et non lors de la prochaine fenêtre de maintenance.
La source rapportant l'information est brève, aussi cet article s'en tient à ce qui est confirmé : la faille est critique, elle accorde un contrôle de niveau root, elle a été exploitée avant qu'un correctif n'existe, et les attaquants n'ont pas été identifiés.
Ce que « Make-Me-Root » signifie pour une passerelle de messagerie
« Make-me-root » est un raccourci pour désigner une vulnérabilité qui permet à un attaquant d'obtenir root, le niveau de privilège le plus élevé sur un système Linux. L'accès root signifie qu'un attaquant n'est plus limité à une seule application ou à un seul compte. Il peut généralement lire et modifier des fichiers, altérer des configurations, installer des outils persistants et falsifier le logiciel que l'appliance exécute.
Sur un poste de travail classique, c'est grave. Sur une appliance de sécurité, c'est pire, car l'appareil est digne de confiance par conception. Les autres systèmes du réseau supposent que la passerelle fait son travail, de sorte qu'une passerelle compromise peut discrètement saper la protection même qu'elle est censée fournir.
Pourquoi les passerelles de messagerie sont des cibles de grande valeur
Un Secure Email Gateway se trouve sur le chemin du courrier entrant et sortant. Les entreprises l'utilisent pour filtrer le spam, l'hameçonnage et les logiciels malveillants avant que les messages n'atteignent les employés. Cette position le rend attrayant pour plusieurs raisons :
- Visibilité sur le flux de courrier. Un appareil qui inspecte les messages peut traiter du contenu sensible, des pièces jointes et des métadonnées sur qui communique avec qui.
- Exposition à Internet. Les passerelles doivent accepter des connexions depuis l'extérieur, ce qui donne aux attaquants un point à sonder.
- Surveillance limitée. Les appliances n'exécutent souvent pas les outils de détection de point de terminaison qui protègent les ordinateurs portables et les serveurs, de sorte qu'une compromission peut passer inaperçue.
- Position réseau de confiance. Un point d'ancrage sur une passerelle peut servir de tremplin vers les systèmes internes.
Ce n'est pas la première fois que la passerelle de messagerie de Cisco est sous les projecteurs. Notre couverture précédente du correctif d'urgence de Cisco pour une faille de la passerelle à accès root et de l'avertissement sur un zero-day de passerelle de messagerie activement exploité montre une série de problèmes graves dans la même gamme de produits. Les attaquants ciblent également les outils de sécurité de messagerie d'autres éditeurs, comme on l'a vu avec le zero-day de FortiMail exploité dans de véritables attaques, ce qui suggère que la catégorie dans son ensemble attire l'attention.
Ce que Cisco et la CISA demandent aux clients de faire
Le message de Cisco comme de la CISA est cohérent : corrigez. Cisco a formulé les choses ainsi : elle « vivement » exhorte ses clients à mettre à jour, et l'implication de la CISA signale que la faille est considérée comme un risque réel pour les organisations, y compris les réseaux du secteur public. Comme l'exploitation est déjà en cours, il ne s'agit pas d'un risque théorique qui peut attendre une revue trimestrielle.
La source ne décrit pas combien de clients sont touchés ni qui est derrière les attaques, et nous ne spéculerons pas. Ce qui est clair, c'est que des attaquants inconnus ont pris de l'avance, ce qui signifie que les organisations doivent traiter la correction comme une première étape plutôt que comme la fin du processus.
Comment vérifier l'état des correctifs et repérer une éventuelle exposition de la messagerie
Si vous administrez des appliances Cisco SEG, qu'elles soient physiques ou virtuelles, suivez une courte liste de contrôle :
- Confirmez votre version. Comparez le logiciel en cours d'exécution avec les versions corrigées indiquées dans l'avis officiel de Cisco.
- Appliquez la mise à jour. Donnez la priorité aux passerelles exposées à Internet.
- Consultez le catalogue KEV de la CISA. La liste des vulnérabilités connues exploitées de la CISA établit des attentes en matière de remédiation et constitue une référence utile même si vous n'êtes pas une agence fédérale.
- Examinez les accès. Regardez qui peut atteindre les interfaces de gestion de l'appliance et restreignez-les aux réseaux de confiance.
- Recherchez des signes de compromission. Examinez les journaux à la recherche de connexions inattendues, de modifications de configuration, de nouveaux comptes ou de connexions sortantes inhabituelles. Si quelque chose semble anormal, suivez votre plan de réponse aux incidents et contactez le support Cisco.
- Tenez compte de l'exposition du courrier. Si une passerelle a pu être compromise, partez du principe que les messages qui l'ont traversée ont pu être consultés, et évaluez quelles informations sensibles cela pourrait impliquer.
Pour le contexte d'une précédente campagne contre la même famille de produits, consultez notre rapport sur CVE-2025-20393 et le zero-day de la passerelle de messagerie Cisco sous attaque.
Ce que cela signifie pour vous
Si vous gérez l'informatique ou la sécurité d'une organisation utilisant Cisco SEG, l'action est directe : vérifiez votre niveau de correctif dès maintenant et examinez l'appliance à la recherche de signes de falsification. Si vous êtes employé ou client d'une telle organisation, vous ne pouvez pas corriger quoi que ce soit vous-même, mais vous pouvez rester vigilant. Soyez prudent avec les messages inattendus, même lorsqu'ils semblent provenir de contacts de confiance, et faites attention à ce que vous envoyez par courriel, car une compromission de la passerelle peut exposer le contenu des messages.
Les particuliers qui n'exploitent pas ces appliances ne sont pas directement touchés par cette faille spécifique. Cela reste néanmoins un rappel que le courriel est rarement privé par défaut, et que l'infrastructure qui le transporte peut défaillir.
Points clés à retenir
- Ce zero-day du Cisco Secure Email Gateway est critique, accorde un contrôle de niveau root et est déjà exploité.
- Cisco et la CISA exhortent tous deux à appliquer immédiatement les correctifs.
- Corrigez d'abord, puis enquêtez : vérifiez les journaux, les contrôles d'accès et la configuration à la recherche de signes de compromission.
- Consultez le catalogue KEV de la CISA et l'avis de Cisco pour obtenir des détails faisant autorité.
- Relisez la couverture précédente liée ci-dessus pour le contexte sur la manière dont les failles répétées de cette gamme de produits se sont manifestées.
Si votre organisation dépend de Cisco SEG, vérifiez l'état des correctifs aujourd'hui et confirmez ce que les directives de la CISA exigent de vous.
