Cisco вновь просит клиентов действовать быстро. Компания «настоятельно» призвала установить патч для очередной критической уязвимости корневого уровня в своём Secure Email Gateway (SEG), и эта уязвимость уже была эксплуатирована в zero-day атаках неизвестными злоумышленниками. По данным The Register, ссылающегося на представителя Cisco, и Cisco, и CISA бьют тревогу. Для любой организации, которая маршрутизирует почту через эти устройства, этот zero-day в Cisco Secure Email Gateway заслуживает внимания сегодня, а не в следующее окно обслуживания.

Источник сообщает кратко, поэтому в этом посте мы придерживаемся только подтверждённых фактов: уязвимость критична, она даёт контроль корневого уровня, она была эксплуатирована до появления исправления, и атакующие не идентифицированы.

Что означает «make-me-root» для почтового шлюза

«Make-me-root» — это сокращённое обозначение уязвимости, позволяющей атакующему получить root — наивысший уровень привилегий в системе на базе Linux. Доступ root означает, что атакующий больше не ограничен одним приложением или учётной записью. Как правило, он может читать и изменять файлы, менять конфигурации, устанавливать постоянные инструменты и вмешиваться в программное обеспечение, на котором работает устройство.

На обычной рабочей станции это серьёзно. На устройстве безопасности — хуже, потому что это устройство доверенное по своей природе. Другие системы в сети предполагают, что шлюз выполняет свою работу, поэтому скомпрометированный шлюз может незаметно подорвать саму защиту, которую он должен обеспечивать.

Почему почтовые шлюзы — высокоценные цели

Secure Email Gateway находится на пути входящей и исходящей почты. Компании используют его для фильтрации спама, фишинга и вредоносного ПО до того, как сообщения попадут к сотрудникам. Такое положение делает его привлекательным по нескольким причинам:

  • Видимость почтового потока. Устройство, которое проверяет сообщения, может обрабатывать конфиденциальный контент, вложения и метаданные о том, кто с кем общается.
  • Доступность из интернета. Шлюзы должны принимать подключения извне, что даёт атакующим место для зондирования.
  • Ограниченный мониторинг. На устройствах часто не запускаются инструменты обнаружения на конечных точках, которые защищают ноутбуки и серверы, поэтому компрометация может остаться незамеченной.
  • Доверенное положение в сети. Закрепление на шлюзе может стать трамплином к внутренним системам.

Это не первый раз, когда почтовый шлюз Cisco оказывается в центре внимания. Наши предыдущие материалы о срочном патче Cisco для уязвимости корневого доступа в шлюзе и предупреждении об активно эксплуатируемом zero-day в почтовом шлюзе показывают закономерность серьёзных проблем в одной и той же линейке продуктов. Атакующие также нацелены на инструменты защиты почты других производителей, как видно из zero-day в FortiMail, эксплуатируемого в реальных атаках, что говорит о том, что эта категория в целом привлекает внимание.

Что Cisco и CISA советуют делать клиентам

Послание от Cisco и CISA согласовано: устанавливайте патч. Cisco сформулировала это так, что она «настоятельно» призывает клиентов обновиться, а участие CISA сигнализирует, что уязвимость считается реальным риском для организаций, включая сети государственного сектора. Поскольку эксплуатация уже происходит, это не теоретический риск, который может подождать до квартального обзора.

Источник не описывает, сколько клиентов затронуто и кто стоит за атаками, и мы не будем строить догадки. Ясно одно: неизвестные атакующие получили фору, а значит, организациям следует рассматривать установку патча как первый шаг, а не как завершение процесса.

Как проверить статус патча и выявить возможную почтовую экспозицию

Если вы администрируете устройства Cisco SEG, физические или виртуальные, пройдите короткий чек-лист:

  1. Подтвердите версию. Сравните работающее программное обеспечение с исправленными выпусками, указанными в официальном бюллетене Cisco.
  2. Примените обновление. В первую очередь отдайте приоритет шлюзам, доступным из интернета.
  3. Проверьте каталог CISA KEV. Список известных эксплуатируемых уязвимостей CISA задаёт ожидания по устранению и является полезным ориентиром, даже если вы не федеральное агентство.
  4. Проверьте доступ. Посмотрите, кто может достичь интерфейсов управления устройством, и ограничьте их доверенными сетями.
  5. Ищите признаки компрометации. Просмотрите логи на предмет неожиданных входов, изменений конфигурации, новых учётных записей или необычных исходящих подключений. Если что-то выглядит подозрительно, следуйте плану реагирования на инциденты и свяжитесь со службой поддержки Cisco.
  6. Оцените почтовую экспозицию. Если шлюз мог быть скомпрометирован, исходите из того, что сообщения, проходящие через него, могли быть просмотрены, и оцените, какая конфиденциальная информация при этом могла быть затронута.

Для контекста о более ранней кампании против того же семейства продуктов см. наш отчёт о CVE-2025-20393 и zero-day в почтовом шлюзе Cisco под атакой.

Что это значит для вас

Если вы управляете ИТ или безопасностью организации, использующей Cisco SEG, действие прямое: проверьте уровень патчей сейчас и осмотрите устройство на предмет признаков вмешательства. Если вы сотрудник или клиент такой организации, вы не можете установить патч самостоятельно, но можете сохранять бдительность. Будьте осторожны с неожиданными сообщениями, даже когда они выглядят как пришедшие от доверенных контактов, и учитывайте, что вы отправляете по электронной почте, поскольку компрометация шлюза может раскрыть содержимое сообщений.

Отдельные люди, которые не используют эти устройства, напрямую не затронуты этой конкретной уязвимостью. Тем не менее это напоминание о том, что электронная почта редко бывает приватной по умолчанию и что инфраструктура, по которой она передаётся, может дать сбой.

Ключевые выводы

  • Этот zero-day в Cisco Secure Email Gateway критичен, даёт контроль корневого уровня и уже эксплуатируется.
  • Cisco и CISA обе призывают к немедленной установке патча.
  • Сначала патч, затем расследование: проверьте логи, контроль доступа и конфигурацию на предмет признаков компрометации.
  • Проверьте каталог CISA KEV и бюллетень Cisco для получения авторитетных сведений.
  • Ознакомьтесь с предыдущими материалами по ссылкам выше для контекста о том, как развивались повторяющиеся уязвимости в этой линейке продуктов.

Если ваша организация полагается на Cisco SEG, проверьте статус патча сегодня и уточните, что требует от вас руководство CISA.

FAQ: Q1: Что представляет собой zero-day уязвимость в Cisco Secure Email Gateway? A1: Это критическая уязвимость корневого уровня в Cisco Secure Email Gateway (SEG), которая уже была эксплуатирована в zero-day атаках неизвестными злоумышленниками. Q2: Что означает «make-me-root» в данном контексте? A2: Это обозначение уязвимости, позволяющей атакующему получить root — наивысший уровень привилегий в системе на базе Linux, что позволяет читать и изменять файлы, менять конфигурации, устанавливать постоянные инструменты и вмешиваться в программное обеспечение устройства. Q3: Почему почтовые шлюзы считаются высокоценными целями для атакующих? A3: Они дают видимость почтового потока, доступны из интернета, часто не имеют инструментов обнаружения на конечных точках и занимают доверенное положение в сети, которое может служить трамплином к внутренним системам. Q4: Что следует делать организациям в связи с этой уязвимостью? A4: Cisco и CISA обе призывают клиентов немедленно установить патч, при этом Cisco заявляет, что «настоятельно» призывает клиентов обновиться. Q5: Подвергался ли Cisco Secure Email Gateway атакам ранее? A5: Да, существует закономерность серьёзных проблем в одной и той же линейке продуктов, включая предыдущий срочный патч для уязвимости корневого доступа в шлюзе и предупреждение об активно эксплуатируемом zero-day в почтовом шлюзе. ---END---