Existe uma ironia particular quando o appliance de segurança que filtra seus e-mails de entrada é comprometido por um e-mail de entrada. Em 14 de outubro de 2026, a Cisco publicou um aviso atualizado confirmando que uma vulnerabilidade crítica no Cisco Secure Email Gateway, rastreada como CVE-2026-76519 com pontuação CVSS de 9.8, está sendo explorada na prática. O mecanismo de entrega do ataque é uma mensagem comum: um invasor sem credenciais envia um e-mail com um anexo manipulado e, se a mensagem atravessa um gateway vulnerável, o tratamento de anexos pode se converter em gravação arbitrária de arquivos no sistema operacional do appliance e, em última instância, em execução de comandos com privilégios de root.
As condições de exposição são específicas, o que é uma boa notícia para administradores que podem verificar rapidamente. Ambas precisam ser verdadeiras. Primeiro, o serviço File Reputation, parte da função Advanced Malware Protection que inspeciona anexos, precisa estar habilitado e atribuído a uma política de e-mail. Segundo, o pacote Content Scanner Tools precisa ser anterior à versão 25.3.0.5525. Gateways físicos e virtuais em versões afetadas do AsyncOS estão expostos. Secure Email and Web Manager e Secure Web Appliance não estão.
A correção existia um mês antes do aviso
A parte silenciosa deste aviso é que a correção existe desde 14 de setembro de 2026. A Cisco a incluiu nas versões 15.5.5-014 e 16.5.0-780 do AsyncOS como parte de uma atualização de endurecimento, sem nomear publicamente a falha na época. Há também um caminho mais leve: atualizar o Content Scanner Tools para 25.3.0.5525 ou posterior instala sem uma atualização completa do software e sem reinício. Administradores que deixaram as atualizações automáticas do scanner ativadas podem já estar protegidos, e a verificação da Cisco é um único comando, contentscannerstatus, que mostra a versão instalada do scanner. A versão 16.0 não tem nenhuma compilação corrigida, então gateways que a executam precisam migrar para uma versão corrigida, idealmente 16.5.0-780, que a Cisco recomenda para qualquer instalação anterior.
A equipe de resposta a incidentes de segurança de produtos da Cisco tomou conhecimento da exploração ativa em outubro de 2026. O aviso não diz quantos appliances foram atacados, quem está por trás dos ataques ou se algum invasor obteve root. O que a Cisco confirma é que contatou diretamente clientes do seu serviço gerenciado Secure Email Cloud cujos dispositivos mostravam indicadores de possível comprometimento, e que as operações de remediação e recuperação estão em andamento. Clientes de gateways gerenciados não podem executar a verificação de comprometimento e não precisam de nenhuma ação para receber a correção, porque a Cisco já implantou o scanner atualizado do lado dela.
No mesmo dia, a CISA adicionou a CVE-2026-76519 ao seu catálogo de vulnerabilidades exploradas conhecidas, dando às agências federais até 17 de outubro de 2026 para aplicar a correção. Esse prazo vale em espírito para qualquer organização que use o appliance, porque não existe nenhuma solução alternativa. Este é também a segunda falha do Cisco Secure Email Gateway confirmada como explorada na prática desde meados de setembro, depois da CVE-2026-76461, outro problema sem autenticação que podia levar à execução de comandos como root.
Como verificar se você foi afetado
O aviso da Cisco traz uma verificação de uma linha: grep “System Security” system_logs, executada em cada membro de um cluster. São três resultados possíveis. Um indicador de comprometimento suspeito significa que o gateway deve ser tratado como comprometido. Uma varredura de segurança que não foi concluída pede contato com a equipe de assistência técnica da Cisco. Um resultado limpo significa que a varredura não encontrou nada, e a Cisco faz questão de dizer que isso não é prova, porque um invasor com root poderia remover ou ocultar evidências. Por isso o aviso também recomenda verificar os registros de firewall e de rede fora do appliance em busca de envios inesperados para endereços externos ou downloads de endereços suspeitos.
Se um appliance virtual está comprometido, a orientação de recuperação da Cisco é preservar primeiro os dados forenses, porque atualizar uma instância comprometida destrói seus registros; depois implantar uma máquina virtual nova em uma versão corrigida, reconstruir a configuração do zero sem importar arquivos anteriores e trocar todas as credenciais e elementos criptográficos do appliance. Os membros de um cluster se autenticam entre si com pares de chaves SSH, de modo que as chaves privadas de um membro comprometido poderiam abrir caminho para os outros, e a Cisco recomenda restaurar todos os membros de qualquer cluster que tenha contido um appliance comprometido.
O que isso significa além do gateway
Para quem defende o e-mail, a lição é em camadas. Um gateway comprometido é um fluxo de e-mail comprometido: um invasor com root no appliance que trata seu e-mail de entrada e de saída está em posição de observar, alterar ou interromper as mensagens que sua organização envia e recebe. A troca de credenciais e chaves após um incidente assim não deveria parar no appliance. Chaves de assinatura DKIM, includes de SPF e credenciais de serviços dos quais o fluxo de e-mail depende merecem revisão quando a própria infraestrutura de e-mail é comprometida, e os relatórios agregados de DMARC são a forma prática de confirmar depois que seu e-mail legítimo continua autenticando corretamente em todos os provedores.
Há também uma lição de perímetro. O gateway fez exatamente o que seus invasores previram: aceitou e-mails de desconhecidos e inspecionou os anexos. O DMARC protege a outra metade do problema, a falsificação do seu próprio domínio, e nenhuma atualização de appliance conserta isso. Se um gateway cai, a única postura de autenticação que permanece é a publicada no seu próprio DNS, e a única forma de confiar nela é ler os relatórios que ela gera.
Se sua organização usa Cisco Secure Email Gateway, execute hoje a verificação de versão e a de comprometimento, antes do prazo de 17 de outubro do catálogo KEV. Depois, dê a mesma atenção à autenticação do seu domínio, porque a infraestrutura vai falhar de novo em algum momento, e a aplicação do DMARC é o controle que sobrevive à falha.
Falhas de gateway vão e voltam, e corrigi-las é uma corrida sem fim. A autenticação de domínio é a camada que continua funcionando não importa qual appliance quebre em seguida. O Excello Mail dá a você uma visão clara e contínua da sua postura de DMARC, SPF e DKIM e de cada serviço que envia como seus domínios, para agir antes que um invasor ou uma interrupção o faça. Cadastre-se gratuitamente no Excello Mail e mantenha seu e-mail autenticado nos seus termos.