Cisco знову просить клієнтів діяти швидко. Компанія «наполегливо» закликала до патчингу ще однієї критичної вразливості з root-рівнем доступу у своєму Secure Email Gateway (SEG), і цю вразливість уже використали в zero-day атаках невідомі зловмисники. За даними The Register, яке посилалося на представника Cisco, і Cisco, і CISA б'ють на сполох. Для будь-якої організації, яка маршрутизує пошту через ці пристрої, цей zero-day у Cisco Secure Email Gateway заслуговує на увагу вже сьогодні, а не в наступне вікно обслуговування.

Джерело повідомляє стисло, тому цей допис обмежується тим, що підтверджено: вразливість критична, вона надає контроль на рівні root, її використали до появи виправлення, і атакуючих не ідентифіковано.

Що означає "Make-Me-Root" для поштового шлюзу

"Make-me-root" — це скорочення для вразливості, яка дозволяє атакуючому отримати root, найвищий рівень привілеїв у системі на базі Linux. Доступ root означає, що атакуючий більше не обмежений одним застосунком чи обліковим записом. Зазвичай він може читати й змінювати файли, змінювати конфігурації, встановлювати інструменти для збереження присутності та втручатися в програмне забезпечення, яке виконує пристрій.

На типовій робочій станції це серйозно. На security-пристрої це гірше, бо пристрій за задумом вважається довіреним. Інші системи в мережі припускають, що шлюз виконує свою роботу, тому скомпрометований шлюз може непомітно підірвати саме той захист, який він має забезпечувати.

Чому поштові шлюзи є цінними цілями

Secure Email Gateway стоїть на шляху вхідної та вихідної пошти. Бізнес використовує його для фільтрації спаму, фішингу та шкідливого ПЗ, перш ніж повідомлення дійдуть до працівників. Ця позиція робить його привабливим із кількох причин:

  • Видимість поштового потоку. Пристрій, який інспектує повідомлення, може обробляти чутливий вміст, вкладення та метадані про те, хто з ким спілкується.
  • Доступність з інтернету. Шлюзи мусять приймати з'єднання ззовні, що дає атакуючим місце для зондування.
  • Обмежений моніторинг. Пристрої часто не запускають інструменти endpoint-виявлення, які захищають ноутбуки та сервери, тому компрометація може залишитися непоміченою.
  • Довірена позиція в мережі. Закріплення на шлюзі може стати трампліном до внутрішніх систем.

Це не перший раз, коли поштовий шлюз Cisco опиняється в центрі уваги. Наші попередні матеріали про екстрене виправлення Cisco для вразливості шлюзу з root-доступом та попередження про активно використовуваний zero-day у поштовому шлюзі показують закономірність серйозних проблем у тій самій лінійці продуктів. Атакуючі також націлюються на інструменти захисту пошти інших постачальників, як видно з zero-day у FortiMail, використаного в реальних атаках, що свідчить про те, що вся категорія привертає увагу.

Що Cisco та CISA радять робити клієнтам

Повідомлення від Cisco та CISA однакове: патчити. Cisco сформулювала це як «наполегливий» заклик до клієнтів оновитися, а залучення CISA сигналізує, що вразливість вважається реальним ризиком для організацій, зокрема мереж державного сектору. Оскільки експлуатація вже відбувається, це не теоретичний ризик, який може чекати на квартальний перегляд.

Джерело не описує, скільки клієнтів постраждало або хто стоїть за атаками, і ми не будемо здогадуватися. Зрозуміло одне: невідомі атакуючі мали фору, а це означає, що організації мають ставитися до патчингу як до першого кроку, а не як до завершення процесу.

Як перевірити статус патчів і виявити можливий вплив на пошту

Якщо ви адмініструєте пристрої Cisco SEG, фізичні чи віртуальні, пройдіть короткий чекліст:

  1. Підтвердьте свою версію. Порівняйте запущене програмне забезпечення з виправленими випусками, зазначеними в офіційній рекомендації Cisco.
  2. Застосуйте оновлення. Насамперед пріоритезуйте шлюзи, доступні з інтернету.
  3. Перевірте каталог CISA KEV. Список відомих експлуатованих вразливостей CISA встановлює очікування щодо виправлення і є користним довідником, навіть якщо ви не федеральна агенція.
  4. Перегляньте доступ. Подивіться, хто може дістатися до інтерфейсів керування пристроєм, і обмежте їх довіреними мережами.
  5. Шукайте ознаки компрометації. Перегляньте журнали на предмет неочікуваних входів, змін конфігурації, нових облікових записів або нетипових вихідних з'єднань. Якщо щось виглядає підозріло, дотримуйтеся свого плану реагування на інциденти та зверніться до підтримки Cisco.
  6. Оцініть вплив на пошту. Якщо шлюз міг бути скомпрометований, припускайте, що повідомлення, які через нього проходили, могли бути переглянуті, і оцініть, яка чутлива інформація могла бути задіяна.

Для контексту про попередню кампанію проти тієї самої родини продуктів дивіться наш звіт про CVE-2025-20393 та zero-day у поштовому шлюзі Cisco під атакою.

Що це означає для вас

Якщо ви керуєте IT або безпекою для організації, яка використовує Cisco SEG, дія пряма: перевірте свій рівень патчів зараз і перегляньте пристрій на ознаки втручання. Якщо ви працівник або клієнт такої організації, ви не можете самостійно нічого патчити, але можете бути пильними. Будьте обережні з неочікуваними повідомленнями, навіть коли вони виглядають як від довірених контактів, і зважайте на те, що надсилаєте електронною поштою, оскільки компрометація шлюзу може розкрити вміст повідомлень.

Фізичні особи, які не запускають ці пристрої, не зачеплені безпосередньо цією конкретною вразливістю. Утім, це нагадування, що електронна пошта рідко буває приватною за замовчуванням і що інфраструктура, яка її передає, може дати збій.

Ключові висновки

  • Цей zero-day у Cisco Secure Email Gateway є критичним, надає контроль на рівні root і вже експлуатується.
  • І Cisco, і CISA закликають до негайного патчингу.
  • Спершу патч, потім розслідування: перевірте журнали, контроль доступу та конфігурацію на ознаки компрометації.
  • Перевірте каталог CISA KEV і рекомендацію Cisco для авторитетних деталей.
  • Перегляньте попередні матеріали за посиланнями вище для контексту про те, як розгорталися повторювані вразливості в цій лінійці продуктів.

Якщо ваша організація покладається на Cisco SEG, перевірте статус патчів сьогодні та підтвердьте, що вимагає від вас guidance CISA.

FAQ: Q1: Що таке zero-day вразливість у Cisco Secure Email Gateway? A1: Це критична вразливість з root-рівнем доступу в Cisco Secure Email Gateway (SEG), яку вже використали в zero-day атаках невідомі зловмисники. Q2: Що означає 'make-me-root' у цьому контексті? A2: Це стосується вразливості, яка дозволяє атакуючому отримати root, найвищий рівень привілеїв у системі на базі Linux, що дає змогу читати й змінювати файли, змінювати конфігурації, встановлювати інструменти для збереження присутності та втручатися в програмне забезпечення пристрою. Q3: Чому поштові шлюзи вважаються цінними цілями для атакуючих? A3: Вони дають видимість поштового потоку, доступні з інтернету, часто не мають інструментів endpoint-виявлення та займають довірену позицію в мережі, яка може слугувати трампліном до внутрішніх систем. Q4: Що мають робити організації щодо цієї вразливості? A4: І Cisco, і CISA закликають клієнтів негайно патчити, причому Cisco заявила, що «наполегливо» закликає клієнтів оновитися. Q5: Чи Cisco Secure Email Gateway зазнавав атак раніше? A5: Так, існує закономірність серйозних проблем у тій самій лінійці продуктів, зокрема попереднє екстрене виправлення для вразливості шлюзу з root-доступом і попередження про активно використовуваний zero-day у поштовому шлюзі. ---END---