// 威脅簡報

CVE-2026-76519已遭實際利用

Cisco Secure Email Gateway AMP 任意檔案寫入:一封帶附件的信就可能讓攻擊者取得 root

CVSS: 9.8 CRITICAL
CISA KEV: 2026-10-14
弱點類型: CWE-23
主題: 基礎設施

PlainCVE 團隊 · 發布 2026-10-17 · AI 輔助 · 媒體簡報 ↓

AI 審稿 2026-10-17(未經人工)指令測試:未提供漏洞重現:未進行驗證紀錄 ↓

Cisco Secure Email Gateway 的 AMP 檔案信譽功能處理附件不當,未經認證的攻擊者寄一封特製信件就可能寫入任意檔案並以 root 執行指令;已遭實際利用。

誰會中	實體或虛擬的 Cisco Secure Email Gateway,執行有漏洞的 AsyncOS 版本,而且同時符合兩個條件:檔案信譽(File Reputation)服務已啟用並套用到郵件政策、Content Scanner Tools 版本早於 25.3.0.5525。
後果	攻擊者不需帳號、也不需要收件人點任何東西,就可能在閘道底層作業系統寫入任意檔案,並以最高權限(root)執行指令,還可能清除入侵痕跡。
現在該做什麼	立即把 Content Scanner Tools 更新到 25.3.0.5525 以上(不需升級或重新開機),並規劃升級 AsyncOS 到已修補版本(Cisco 建議 16.5 以前的版本遷移到 16.5.0-780)。沒有替代的暫時緩解措施。
受影響版本	執行有漏洞 AsyncOS 版本、啟用並套用檔案信譽服務,且 Content Scanner Tools 早於 25.3.0.5525 的實體與虛擬設備。CVE 紀錄列出 23 個 AsyncOS 版本(13.0.0-392 至 16.0.4-016),未列出的版本狀態為「未知」。
修好的版本	Content Scanner Tools 25.3.0.5525 以上;AsyncOS 15.5 分支為 15.5.5-014、16.5 分支為 16.5.0-780,16.0 分支沒有修補版本,需遷移(皆為 Cisco 公告)。
CVSS 向量	顯示完整向量 `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
時間點	首次公開 2026-10-14
CISA KEV	已列入(2026-10-14),代表已有實際攻擊案例

藍隊應對手冊

確認、修補 / 緩解、應變、強化。版本符合受影響條件不等於已被入侵;檢查沒有結果也不等於安全,每一項都有能證明與不能證明的範圍。標記的步驟對應下方攻擊流程裡可以擋下攻擊的那一步。

DETECT確認我受影響嗎?有沒有入侵跡象?

01確認是否符合受影響條件
三者同時成立才受影響:AsyncOS 為有漏洞版本、檔案信譽服務已啟用並套用到郵件政策、Content Scanner Tools 早於 25.3.0.5525。CVE 紀錄列出的 23 個版本以外,狀態是「未知」而非「不受影響」,不要因為版本不在清單上就放心。
步驟 2
02檢查 system_logs 中的利用嘗試
Cisco 公告提供一個在 system_logs 中搜尋「System Security」訊息的檢查方式(請使用公告中的原始指令),用來確認是否有人嘗試利用。叢集中的每一台都要檢查,並與保存在設備以外的網路與防火牆紀錄交叉比對。
步驟 4 步驟 5

MITIGATE修補 / 緩解先修補;還不能修補時先擋住

01更新 Content Scanner Tools 到 25.3.0.5525 以上
Cisco 表示修補也以 Content Scanner Tools 更新的形式提供給所有有授權且仍受支援的 AsyncOS 版本,不需升級軟體或重新開機。這是最快的修補途徑。
步驟 2 步驟 3
02升級 AsyncOS 到已修補版本
Cisco 公告的修補表:15.5 分支的修補版為 15.5.5-014,16.5 分支為 16.5.0-780,16.0 分支沒有修補版本、需遷移到已修補版本;Cisco 強烈建議 16.5 以前的版本遷移到 16.5.0-780。The Hacker News 另指出 16.0.4-302 也沒有修到這個問題。Cisco 表示沒有暫時緩解措施。
步驟 3
03雲端版客戶:取得修補不需動作,被 Cisco 聯絡的客戶仍要處理
依 Cisco 說法,Secure Email Cloud Gateway 客戶什麼都不用做就會拿到修補。不過 Cisco 調查後在部分雲端設備上看到可能遭入侵的跡象,已直接找上這些設備的客戶。對這些客戶,Cisco 的建議是:能做到的話,換掉設備上的憑證與加密材料,讓設備回到安全狀態;同時用嚴格的存取控制,限縮誰能連到設備。

RESPOND應變發現入侵跡象時

01懷疑遭利用時,先保存證據,不要直接更新
Cisco 為虛擬設備排了處理順序。第一步是照自己組織的事件處理政策把鑑識資料存下來,因為已遭入侵的設備一更新,紀錄與鑑識證據就沒了。之後改用新的虛擬機器跑已修補版本,設定從頭建立、不沿用舊設定檔,把設備上原有的憑證與所有加密材料都換掉,並持續留意異常行為。Cisco 表示無法還原時找 Cisco TAC;實體設備懷疑遭利用時,也是找 TAC。
步驟 4 步驟 5
02叢集裡只要一台遭入侵,每一台都要還原
Cisco 說明,叢集成員彼此靠 SSH 金鑰對確認身分,所以攻擊者在一台遭入侵的設備上就可能拿到這些私鑰,再拿去對付其他成員。因此 Cisco 強烈建議把這種叢集的所有成員都還原到安全設定,而不只是出事的那一台。
步驟 4 步驟 5
03設備上的紀錄乾淨不代表沒事
Cisco 提醒攻擊者可能清除或隱藏利用證據,並強烈建議比對設備以外的網路與防火牆紀錄。PlainCVE 的建議:發現跡象時把設備視為可能已被完全掌控,不要以為更新修補後就沒事;已遭入侵的設備要照上面 Cisco 的步驟重建。
步驟 4 步驟 5

HARDEN強化長期避免同類問題

01把紀錄保存在設備以外
Cisco 建議以設備外的網路與防火牆紀錄交叉比對;平時就把閘道相關紀錄送到另一個系統保存,攻擊者即使取得 root 也難以竄改。
步驟 5
02不要只等獨立的安全公告
依 The Hacker News 報導,這個問題早在 9 月的強化版本中就已修補,10 月才有獨立公告。定期套用 Content Scanner Tools 與 AsyncOS 更新,可以提早受到保護。

完整修復步驟與說明

Cisco 表示沒有暫時緩解措施,只能更新。

項目	修補版本	來源
Content Scanner Tools	25.3.0.5525 以上(不需升級或重新開機)	Cisco
AsyncOS 16.5	16.5.0-780	Cisco
AsyncOS 16.5 以前	Cisco 強烈建議遷移到 16.5.0-780	Cisco
AsyncOS 15.5	15.5.5-014	Cisco
AsyncOS 16.0	沒有修補版本,需遷移到已修補版本	Cisco
AsyncOS 16.0.4-302(修 9 月 SQL 注入的版本)	沒有修到這個問題	The Hacker News

順序建議:先更新 Content Scanner Tools,這一步最快、也不影響服務;再排程 AsyncOS 升級。檢查利用跡象時,請照 Cisco 公告中的原始指令搜尋 system_logs,叢集每一台都要查。因為攻擊者可能刪除證據,設備上查不到不代表沒事,務必比對設備以外的網路與防火牆紀錄。

如果懷疑已遭利用,不要直接更新。 Cisco 公告指出,更新已遭入侵的設備會毀掉鑑識資料與紀錄。虛擬設備請先保存鑑識資料,再部署執行已修補版本的新虛擬機器、不匯入舊設定檔重建設定、更換設備上的憑證與加密金鑰材料,並持續監控;叢集中只要有一台遭入侵,每一台都要還原(成員間使用的 SSH 私鑰可能已外洩)。實體設備,或無法還原時,請聯絡 Cisco TAC。

攻擊流程

從左到右是攻擊發生的順序。藍色盾牌代表這一步可以被擋下,越早擋下越好。點圖示可看細節。

由上到下是攻擊發生的順序。藍色盾牌代表這一步可以被擋下,越早擋下越好。點圖示可看細節。

圖片可自由用於報導與教學,採 CC BY 4.0,圖上已附出處。

攻擊者
攻擊者寄出一封帶有特製附件的信
不需要任何帳號,也不需要收件人開信或點擊;只要信件經過受影響的閘道即可。
防禦: Cisco 表示沒有暫時緩解措施,只能靠更新修補。
你的系統
閘道的 AMP 檔案信譽服務處理這個附件
只有檔案信譽服務已啟用並套用到郵件政策、且 Content Scanner Tools 早於 25.3.0.5525 時,才會走到有問題的處理流程。
防禦: 把 Content Scanner Tools 更新到 25.3.0.5525 以上,不需升級或重新開機。
你的系統
附件處理不當,檔案被寫到不該寫的位置
CISA 將它歸類為相對路徑穿越(CWE-23):程式沒有把寫入位置限制在預期的資料夾內。
防禦: 升級 AsyncOS 到已修補版本(例如 16.5.0-780)。
攻擊者
攻擊者以 root 權限執行指令
Cisco 表示成功利用可在底層作業系統以 root 執行指令;PlainCVE 判斷這等於可完全掌控該閘道。
防禦: 依 Cisco 的方法檢查 system_logs 中的「System Security」訊息,確認是否有利用嘗試。
攻擊者
攻擊者可能清除或隱藏入侵痕跡
Cisco 提醒,取得這種權限的攻擊者可能刪改設備上的利用證據與入侵指標。
防禦: 比對保存在設備以外的網路與防火牆紀錄。

影響範圍

條件	是否受影響
實體或虛擬 Secure Email Gateway + 有漏洞的 AsyncOS + 檔案信譽服務已啟用並套用到郵件政策 + Content Scanner Tools 早於 25.3.0.5525	受影響
Content Scanner Tools 25.3.0.5525 以上	Cisco 表示已含修補
沒有啟用檔案信譽服務,或沒有套用到郵件政策	不符合 Cisco 列出的條件
Secure Email Cloud Gateway(雲端版)	Cisco 表示客戶取得修補不需動作;但 Cisco 在部分雲端設備上偵測到惡意活動並已直接聯絡,強烈建議被聯絡的客戶在可行時更換設備上的憑證與加密材料,並限制設備存取
Secure Email and Web Manager、Secure Web Appliance	Cisco 公告確認不受影響

Cisco 公告要讀者對照其「Fixed Software」段落判斷哪些 AsyncOS 版本有漏洞。依該段的修補表,15.5 分支早於 15.5.5-014、整個 16.0 分支(Cisco 寫「需遷移到已修補版本」)、16.5 分支早於 16.5.0-780 屬於受影響範圍(仍須同時符合上面兩個條件)。Cisco 以 CNA 身分填寫的 CVE 紀錄列出 23 個受影響版本,從 13.0.0-392 到 16.0.4-016;沒列出的版本狀態是「未知」,不代表不受影響。NVD 的 CPE 範圍寫成 15.0 起(15.0 以上、早於 15.5.5-014,以及 16.0 以上、早於 16.5.0-780),Cisco 的 CNA 紀錄另列 13.0.0-392 至 14.3.0-032 等 13.x、14.x 版本為受影響;本頁以 Cisco 的資料為準,使用 13.x、14.x 的設備也請檢查。

原理

Cisco Secure Email Gateway 是擋在企業郵件伺服器前面的過濾設備。它的 AMP(Advanced Malware Protection,進階惡意程式防護)功能裡有一項「檔案信譽」服務,會檢查信件附件是否為已知的惡意檔案。

Cisco 表示,問題出在檔案信譽服務啟用時對附件的處理不當。攻擊者只要讓一封帶有特製附件的信經過閘道,就可能在底層作業系統寫入任意檔案,並以 root(系統最高權限)執行指令。不需要帳號,也不需要收件人做任何事(RedLegg 指出不需使用者互動)。Cisco 也提醒,取得這種權限的攻擊者可能清除或隱藏入侵痕跡。PlainCVE 的判斷是:能以 root 執行指令,等於可以完全掌控這台閘道,這與 CVSS 中機密性、完整性、可用性三項都是「高」一致。

CISA 將它歸類為 CWE-23(相對路徑穿越)。Cisco 沒有公開程式細節,下面只是這類弱點的一般概念示意,不是 Cisco 的程式碼:

有問題的思路(概念示意):

展開程式碼範例(python)

# 直接把附件帶來的名稱接在暫存資料夾後面
path = os.path.join(SCAN_DIR, attachment_name)
write(path, data)

修好的思路(概念示意):

展開程式碼範例(python)

path = os.path.realpath(os.path.join(SCAN_DIR, attachment_name))
# 確認最後的位置仍在預期資料夾內,否則拒絕
if not path.startswith(os.path.realpath(SCAN_DIR) + os.sep):
    raise ValueError("拒絕寫入")
write(path, data)

時間軸

日期	事件
2026-08-19	CVE 編號保留
2026-09-14	Cisco 發布強化版本公告 cisco-sa-hardening-esa-dfCrfXkm(1.0 版),把內部發現的問題依弱點類別併成合併編號(路徑穿越類為 CVE-2026-76440),修補版 15.5.5-014、16.5.0-780(與本漏洞公告列的修補版本相同);該公告沒有提到 AMP 或檔案信譽。The Hacker News 報導 Cisco 現在表示這批版本已包含此修補
2026-10	依 CVE 紀錄,Cisco PSIRT 得知實際遭利用
2026-10-14	Cisco 發布安全公告(16:00 GMT),CVE 公開,CISA 列入 KEV
2026-10-17	KEV 要求美國聯邦機構完成修補的期限

驗證紀錄 AI 依審稿規則逐項核對來源,全部通過;未經人工審稿,也尚未在我們的環境重現

AI 審稿	2026-10-17 · 審稿規則

驗證紀錄只寫環境與結果,不公開重現步驟或可攻擊他人系統的程式。詳見政策.

來源

安全公告Cisco Secure Email Gateway Arbitrary File Write Vulnerability (cisco-sa-esa-afw-zqYJkjxp) · Cisco, 2026-10-14 · 查閱 2026-10-15
安全公告Cisco Secure Email Gateway and Secure Email and Web Manager Security Hardening Release: September 2026 (cisco-sa-hardening-esa-dfCrfXkm) · Cisco, 2026-09-14 · 查閱 2026-10-15
CVE / NVD / OSVCVE-2026-76519 CVE record (JSON) · CVE Program, 2026-10-14 · 查閱 2026-10-15
CVE / NVD / OSVNVD API - CVE-2026-76519 · NIST · 查閱 2026-10-15
研究文章Security Bulletin: Arbitrary File Write Vulnerability in Cisco Secure Email Gateway Advanced Malware Protection · RedLegg · 查閱 2026-10-15
新聞報導Cisco patches actively exploited Secure Email Gateway zero-day · BleepingComputer · 查閱 2026-10-15
新聞報導Cisco warns of active attacks · The Hacker News · 查閱 2026-10-15

媒體簡報

一句話

Cisco Secure Email Gateway 是企業用來過濾進出信件的郵件閘道。它的 AMP 惡意程式防護功能在處理附件時有缺陷,未經認證的攻擊者只要讓一封特製信件經過閘道,就可能寫入任意檔案並以 root 權限執行指令。Cisco 於 2026 年 10 月 14 日發布公告,美國 CISA 同日將它列入已知遭利用漏洞清單。Cisco 表示已發布更新,且沒有暫時緩解措施。

關鍵數字

嚴重度: CVSS 3.1 9.8(Cisco) sec.cloudapps.cisco.com
Cisco 公告發布: 2026-10-14(cisco-sa-esa-afw-zqYJkjxp) sec.cloudapps.cisco.com
修補: Content Scanner Tools 25.3.0.5525+;AsyncOS 16.5.0-780 sec.cloudapps.cisco.com
實際遭利用: Cisco PSIRT 於 2026 年 10 月得知(CVE 紀錄) cveawg.mitre.org

已確認

Cisco 確認:AMP 檔案信譽服務處理附件不當,可讓未經認證的遠端攻擊者寫入任意檔案並以 root 執行指令。
CVE 紀錄(Cisco 提供)指出 Cisco PSIRT 在 2026 年 10 月得知實際遭利用;CISA 於 2026-10-14 列入 KEV。
Cisco 在部分 Secure Email Cloud 設備上偵測到惡意活動,並已直接聯絡客戶。
Cisco 表示沒有暫時緩解措施。

尚未確認 / 說法不一

是否為「零時差」漏洞說法不一:BleepingComputer 這樣稱呼,The Hacker News 則指出修補 9 月 14 日就已釋出;沒有來源證明攻擊早於修補。
攻擊何時開始、多少設備受害、幕後是誰,都沒有公開;公告也沒說攻擊者是否真的在任何設備上取得 root。
Shadowserver 追蹤到近 300 台暴露在網路上的設備,但其中多少有漏洞或是誘捕系統不得而知。
CISA 列出是否用於勒索軟體攻擊為「未知」。

可引用的一句話

郵件閘道的工作是檢查危險的附件,這次卻是檢查的動作本身成了入口。

圖片

下載分享圖(PNG) · 攻擊流程圖(可下載)

引用時請標示「PlainCVE」並附上本頁連結。完整引用格式見下方「如何引用本頁」。有事實錯誤請回報.

Cisco Secure Email Gateway AMP 任意檔案寫入:一封帶附件的信就可能讓攻擊者取得 root

Cisco Secure Email Gateway 是企業用來過濾進出信件的郵件閘道。它的 AMP 惡意程式防護功能在處理附件時有缺陷,未經認證的攻擊者只要讓一封特製信件經過閘道,就可能寫入任意檔案並以 root 權限執行指令。Cisco 於 2026 年 10 月 14 日發布公告,美國 CISA 同日將它列入已知遭利用漏洞清單。Cisco 表示已發布更新,且沒有暫時緩解措施。

關鍵數字:
- 嚴重度:CVSS 3.1 9.8(Cisco)(https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-afw-zqYJkjxp)
- Cisco 公告發布:2026-10-14(cisco-sa-esa-afw-zqYJkjxp)(https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-afw-zqYJkjxp)
- 修補:Content Scanner Tools 25.3.0.5525+;AsyncOS 16.5.0-780(https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-afw-zqYJkjxp)
- 實際遭利用:Cisco PSIRT 於 2026 年 10 月得知(CVE 紀錄)(https://cveawg.mitre.org/api/cve/CVE-2026-76519)

已確認:
- Cisco 確認:AMP 檔案信譽服務處理附件不當,可讓未經認證的遠端攻擊者寫入任意檔案並以 root 執行指令。
- CVE 紀錄(Cisco 提供)指出 Cisco PSIRT 在 2026 年 10 月得知實際遭利用;CISA 於 2026-10-14 列入 KEV。
- Cisco 在部分 Secure Email Cloud 設備上偵測到惡意活動,並已直接聯絡客戶。
- Cisco 表示沒有暫時緩解措施。

尚未確認 / 說法不一:
- 是否為「零時差」漏洞說法不一:BleepingComputer 這樣稱呼,The Hacker News 則指出修補 9 月 14 日就已釋出;沒有來源證明攻擊早於修補。
- 攻擊何時開始、多少設備受害、幕後是誰,都沒有公開;公告也沒說攻擊者是否真的在任何設備上取得 root。
- Shadowserver 追蹤到近 300 台暴露在網路上的設備,但其中多少有漏洞或是誘捕系統不得而知。
- CISA 列出是否用於勒索軟體攻擊為「未知」。

「郵件閘道的工作是檢查危險的附件,這次卻是檢查的動作本身成了入口。」— PlainCVE
https://plaincve.date/vulns/cve-2026-76519-cisco-secure-email-file-write

如何引用本頁

本文採 CC BY 4.0,轉載請保留署名與連結。

PlainCVE 團隊(2026)。《Cisco Secure Email Gateway AMP 任意檔案寫入:一封帶附件的信就可能讓攻擊者取得 root》。PlainCVE。https://plaincve.date/vulns/cve-2026-76519-cisco-secure-email-file-write(查閱日期:YYYY-MM-DD)

BibTeX

@misc{cve202676519ciscosecureemailfilewrite2026,
  title  = {Cisco Secure Email Gateway AMP 任意檔案寫入:一封帶附件的信就可能讓攻擊者取得 root},
  author = {PlainCVE 團隊},
  year   = {2026},
  howpublished = {PlainCVE},
  url    = {https://plaincve.date/vulns/cve-2026-76519-cisco-secure-email-file-write},
  note   = {更新於 2026-10-17}
}