思科再次要求客户迅速采取行动。该公司“强烈”敦促修补其安全邮件网关（SEG）中另一个严重的root级漏洞，而该漏洞已被未知行为者在零日攻击中利用。据The Register援引思科发言人的话报道，思科和CISA都在发出警报。对于任何通过这些设备路由邮件的组织来说，这个思科安全邮件网关零日漏洞值得今天关注，而不是等到下一个维护窗口。
消息来源的报道很简短，因此本文只讨论已确认的内容：该漏洞极为严重，可授予root级控制权，在修复程序发布之前就已被利用，且攻击者尚未被确认。
“Make-Me-Root”对邮件网关意味着什么
“Make-me-root”是一个漏洞的简称，它允许攻击者获得root权限，即基于Linux的系统上的最高权限级别。Root访问权限意味着攻击者不再局限于单个应用程序或账户。他们通常可以读取和更改文件、修改配置、安装持久性工具，并篡改设备运行的软件。
在普通工作站上，这已经很严重。在安全设备上，情况更糟，因为该设备在设计上就是受信任的。网络中的其他系统假定网关在正常履行职责，因此被攻陷的网关可以悄无声息地破坏它本应提供的保护。
为什么邮件网关是高价值目标
安全邮件网关位于入站和出站邮件的路径上。企业使用它在邮件到达员工之前过滤垃圾邮件、网络钓鱼和恶意软件。这一位置使其在多个方面具有吸引力：
- 对邮件流的可见性。 检查邮件的设备可能会处理敏感内容、附件以及关于谁与谁通信的元数据。
- 互联网暴露。 网关必须接受来自外部的连接，这为攻击者提供了探测的入口。
- 监控有限。 设备通常不运行保护笔记本电脑和服务器的端点检测工具，因此入侵可能不被察觉。
- 受信任的网络位置。 在网关上建立立足点可以成为进入内部系统的跳板。
这并非思科的邮件网关第一次成为焦点。我们此前关于思科针对root访问网关漏洞发布紧急补丁以及活跃利用的邮件网关零日漏洞警告的报道显示，同一产品线存在一系列严重问题。攻击者也针对其他厂商的邮件安全工具，正如FortiMail零日漏洞在实际攻击中被利用所显示的，这表明整个品类都引起了关注。
思科和CISA告诉客户该怎么做
思科和CISA传达的信息是一致的：修补。思科的措辞是“强烈”敦促客户更新，而CISA的介入表明该漏洞被认为对组织（包括公共部门网络）构成真实风险。由于利用行为已经发生，这不是可以等到季度审查时才处理的理论风险。
消息来源没有描述有多少客户受到影响，也没有说明攻击幕后黑手是谁，我们不会猜测。明确的是，未知攻击者已经抢占了先机，这意味着组织应将修补视为第一步，而非流程的终点。
如何检查补丁状态并发现可能的邮件暴露
如果您管理思科SEG设备（无论是物理设备还是虚拟设备），请按照以下简短清单逐项检查：
- 确认您的版本。 将运行中的软件与思科官方公告中列出的已修复版本进行对比。
- 应用更新。 优先处理面向互联网的网关。
- 检查CISA KEV目录。 CISA的已知被利用漏洞列表设定了修复预期，即使您不属于联邦机构，这也是一个有用的参考。
- 审查访问权限。 查看谁可以访问设备的管理界面，并将其限制在受信任的网络中。
- 寻找入侵迹象。 审查日志中是否有异常登录、配置更改、新账户或异常出站连接。如果发现任何异常，请遵循您的事件响应计划并联系思科支持。
- 考虑邮件暴露。 如果网关可能已被攻陷，请假定通过它的邮件可能已被查看，并评估这可能涉及哪些敏感信息。
关于此前针对同一产品系列的攻击活动的背景信息，请参阅我们关于CVE-2025-20393和思科邮件网关零日漏洞遭受攻击的报道。
这对您意味着什么
如果您为使用思科SEG的组织管理IT或安全，行动很直接：立即验证您的补丁级别，并检查设备是否有被篡改的迹象。如果您是此类组织的员工或客户，您无法自行修补任何东西，但可以保持警惕。即使意外消息看起来来自可信联系人，也要保持谨慎，并注意您通过电子邮件发送的内容，因为网关被攻陷可能会暴露邮件内容。
不运行这些设备的个人不会直接受到这个特定漏洞的影响。不过，这提醒我们，电子邮件默认情况下很少是私密的，承载它的基础设施也可能出现故障。
关键要点
- 这个思科安全邮件网关零日漏洞极为严重，可授予root级控制权，且已被利用。
- 思科和CISA都敦促立即修补。
- 先修补，再调查：检查日志、访问控制和配置，寻找入侵迹象。
- 查看CISA KEV目录和思科公告以获取权威详情。
- 查阅上文链接的此前报道，了解该产品线反复出现的漏洞是如何发展的。
如果您的组织依赖思科SEG，请今天验证补丁状态，并确认CISA的指南对您有什么要求。
