Cisco ponovno poziva korisnike na brzu reakciju. Tvrtka je "snažno" pozvala na zakrpanje još jedne kritične ranjivosti na razini roota u svom Secure Email Gatewayu (SEG), a ranjivost je već iskorištena u zero-day napadima od strane nepoznatih aktera. Prema The Registeru, koji se poziva na glasnogovornika Cisca, i Cisco i CISA dižu uzbunu. Za svaku organizaciju koja usmjerava poštu kroz ove uređaje, ovaj Cisco Secure Email Gateway zero-day zaslužuje pozornost danas, a ne u sljedećem servisnom terminu.

Izvor izvještava kratko, pa se ovaj članak drži onoga što je potvrđeno: ranjivost je kritična, omogućuje kontrolu na razini roota, iskorištena je prije nego što je popravak postojao, a napadači nisu identificirani.

Što "Make-Me-Root" znači za email gateway

"Make-me-root" je skraćeni naziv za ranjivost koja napadaču omogućuje stjecanje root pristupa, najviše razine privilegija na Linux-baziranom sustavu. Root pristup znači da napadač više nije ograničen na pojedinačnu aplikaciju ili račun. Obično može čitati i mijenjati datoteke, mijenjati konfiguracije, instalirati trajne alate i mijenjati softver koji uređaj pokreće.

Na tipičnom radnom računalu to je ozbiljno. Na sigurnosnom uređaju još je gore, jer se uređaju vjeruje po dizajnu. Drugi sustavi u mreži pretpostavljaju da gateway obavlja svoj posao, pa kompromitirani gateway može tiho potkopati upravo onu zaštitu koju bi trebao pružati.

Zašto su email gatewayi mete visoke vrijednosti

Secure Email Gateway nalazi se na putu dolazne i odlazne pošte. Tvrtke ga koriste za filtriranje spama, phishinga i zlonamjernog softvera prije nego što poruke stignu do zaposlenika. Taj ga položaj čini privlačnim iz nekoliko razloga:

  • Uvid u protok pošte. Uređaj koji pregledava poruke može obrađivati osjetljiv sadržaj, privitke i metapodatke o tome ko komunicira s kim.
  • Izloženost internetu. Gatewayi moraju prihvaćati veze izvana, što napadačima daje mjesto za probe.
  • Ograničeno nadziranje. Uređaji često ne pokreću alate za otkrivanje na krajnjim točkama koji štite prijenosna računala i poslužitelje, pa kompromitacija može proći nezapaženo.
  • Pouzdan mrežni položaj. Uporište na gatewayu može biti odskočna daska prema internim sustavima.

Ovo nije prvi put da je Ciscov email gateway u središtu pozornosti. Naše prethodno izvještavanje o Ciscovom hitnom popravku za ranjivost gatewaya s root pristupom i upozorenju na aktivno iskorišteni email gateway zero-day pokazuju obrazac ozbiljnih problema u istoj liniji proizvoda. Napadači također ciljaju alate za sigurnost pošte drugih proizvođača, kao što se vidi u FortiMail zero-day iskorišten u stvarnim napadima, što sugerira da cijela kategorija privlači pozornost.

Što Cisco i CISA govore korisnicima da učine

Poruka i Cisca i CISA-e je dosljedna: zakrpajte. Cisco se izrazio da "snažno" poziva korisnike na ažuriranje, a uključenost CISA-e signalizira da se ranjivost smatra stvarnim rizikom za organizacije, uključujući mreže javnog sektora. Budući da se iskorištavanje već događa, ovo nije teoretski rizik koji može čekati kvartalni pregled.

Izvor ne opisuje koliko je korisnika zahvaćeno ni ko stoji iza napada, i nećemo nagađati. Jasno je da su nepoznati napadači imali prednost, što znači da organizacije trebaju zakrpanje tretirati kao prvi korak, a ne kao kraj procesa.

Kako provjeriti status zakrpe i uočiti moguću izloženost pošte

Ako administrirate Cisco SEG uređaje, bilo fizičke ili virtualne, prođite kroz kratki kontrolni popis:

  1. Potvrdite svoju verziju. Usporedite pokrenuti softver s ispravljenim izdanjima navedenima u Ciscovom službenom savjetu.
  2. Primijenite ažuriranje. Prvo dajte prednost gatewayima izloženima internetu.
  3. Provjerite CISA KEV katalog. CISA-in popis poznatih iskorištenih ranjivosti postavlja očekivanja za otklanjanje i koristan je referentni materijal čak i ako niste savezna agencija.
  4. Pregledajte pristup. Pogledajte ko može doći do upravljačkih sučelja uređaja i ograničite ih na pouzdane mreže.
  5. Potražite znakove kompromitacije. Pregledajte zapise za neočekivane prijave, promjene konfiguracije, nove račune ili neobične odlazne veze. Ako nešto izgleda sumnjivo, slijedite svoj plan odgovora na incidente i kontaktirajte Ciscovu podršku.
  6. Razmotrite izloženost pošte. Ako je gateway možda bio kompromitiran, pretpostavite da su poruke koje su prolazile kroz njega mogle biti pregledane i procijenite koje bi osjetljive informacije to moglo uključivati.

Za kontekst o ranijoj kampanji protiv iste obitelji proizvoda pogledajte naš izvještaj o CVE-2025-20393 i Ciscovom email gateway zero-dayu pod napadom.

Što to znači za vas

Ako upravljate IT-om ili sigurnošću za organizaciju koja koristi Cisco SEG, radnja je jasna: provjerite svoju razinu zakrpe odmah i pregledajte uređaj na znakove neovlaštenog mijenjanja. Ako ste zaposlenik ili korisnik takve organizacije, ne možete sami zakrpati ništa, ali možete ostati na oprezu. Budite oprezni s neočekivanim porukama čak i kada se čini da dolaze od pouzdanih kontakata i pazite što šaljete emailom, jer kompromitacija gatewaya može izložiti sadržaj poruka.

Pojedinci koji ne pokreću ove uređaje nisu izravno pogođeni ovom konkretnom ranjivošću. Ipak, to je podsjetnik da email rijetko je privatan prema zadanim postavkama i da infrastruktura koja ga prenosi može zakazati.

Ključne poante

  • Ovaj Cisco Secure Email Gateway zero-day je kritičan, omogućuje kontrolu na razini roota i već je iskorišten.
  • I Cisco i CISA pozivaju na hitno zakrpanje.
  • Prvo zakrpajte, zatim istražite: provjerite zapise, kontrole pristupa i konfiguraciju na znakove kompromitacije.
  • Provjerite CISA KEV katalog i Ciscov savjet za mjerodavne pojedinosti.
  • Pregledajte ranije povezano izvještavanje za kontekst o tome kako su se ponavljajuće ranjivosti u ovoj liniji proizvoda razvijale.

Ako se vaša organizacija oslanja na Cisco SEG, provjerite status zakrpe danas i potvrdite što CISA-ine smjernice zahtijevaju od vas.