思科邮件网关又交出了 root。这一次，补丁已经在货架上放了一个月

思科于 10 月 14 日发布了针对 CVE-2026-76519 的安全公告 cisco-sa-esa-afw-zqYJkjxp。该漏洞位于 Secure Email Gateway 所用 AsyncOS 的高级恶意软件防护（AMP）功能中，属于任意文件写入，CVSS 基本分 9.8。未经认证的远程攻击者通过网关发送一封带有特制附件的邮件，文件信誉（File Reputation）服务对其处理不当，于是文件被写入底层操作系统，命令以 root 权限执行。没有任何缓解措施。思科 PSIRT 已于 2026 年 10 月获悉在野利用，CISA 也将该漏洞列入"已知被利用漏洞"（KEV）目录，并把联邦机构的修复期限定在 10 月 17 日。

这个漏洞是思科自己发现的，来自内部安全扫描。有意思的是接下来发生的事。据 SecurityWeek 报道，修复它的版本——AsyncOS 15.5.5-014 与 16.5.0-780——在 9 月 14 日就已发布，并在当月公告中以 CVE-2026-76440 的编号被归在一起；周三，思科在发布这份新的专门公告之外，也更新了那份 9 月公告，记录了在野利用。也就是说，补丁已经在货架上放了一个月。真正新的，是有人开始动用这个洞。

受影响范围

物理与虚拟设备均在范围内。思科表示，Secure Email and Web Manager 与 Secure Web Appliance 不受影响，而其自营的 Secure Email Cloud Gateway 环境已完成修复。

决定暴露与否的版本号，不是你在跟踪的那个

一台设备只有在两个条件同时成立时才存在漏洞：文件信誉服务已启用并被指派给某个邮件策略，且 Content Scanner Tools 的版本低于 25.3.0.5525。

第一个条件比 9 月那个漏洞更窄。那一个位于入站邮件的解析逻辑中，因此只要网关在履行职责就一律适用。这一个要求你打开了恶意软件扫描功能——换句话说，它针对的是那些买了这台设备、又照着产品规格书的建议去配置它的组织。

值得停下来细想的是第二个条件。Content Scanner Tools 是一个独立编号、与 AsyncOS 分开更新的软件包，思科也注明升级到 25.3.0.5525 既不需要软件升级也不需要重启。这对修复窗口是好消息，对资产管理则是坏消息。资产数据库、漏洞扫描器与变更单，全都是围绕固件和操作系统版本线搭建的。一个在后台静默自我更新的扫描引擎包——除了那些若干年前被某位早已离职的同事关掉自动更新的设备之外——并不是多数组织能够查询的字段。思科的公告给出了命令行：用 contentscannerstatus 读取版本，用 contentscannerupdate 拉取更新。对多数团队而言，跑一遍这个检查，比在 CMDB 里把答案找出来更快。

设备无法为自己开脱

思科给出的入侵指标核查办法，是在每台集群成员上执行 grep "System Security" system_logs 并读取结果：出现疑似入侵指标，就按公告的处置建议执行；安全扫描未能完成，就联系 TAC；没有发现指标，若尚未升级则升级到修复版本。

随后公告——很正确地——给自己的这项检查打了折扣。由于利用成功即获得 root，攻击者可以删除或隐藏证据，因此思科要求管理员交叉核对网络与防火墙日志，查找向外部地址的异常上传，或来自已知恶意 IP 的下载。这与上个月是同一个论点，而它一点也没有变得更不成立：持有 root 的攻击者唯一无法掌控的记录，就是保存在别处的那些。

公告里还有两条，重要程度超过了它们被摆放的位置。集群内的设备共享 SSH 密钥，所以一台沦陷就牵连其余。而在虚拟设备上，升级会摧毁取证证据——因此一旦日志检查结果不干净，快照必须在打补丁之前采集，而不是之后。对于已沦陷的虚拟设备，思科给出的恢复路径根本不是打补丁：干净重建部署，不导入旧配置文件地重搭配置，并更换这台机器持有过的每一份凭据与密钥。

这个形状会反复出现

这是 9 月中旬以来第二个遭在野利用的 Secure Email Gateway 漏洞，第一个是 CVE-2026-76461；而据 Security Affairs 统计，这已是 2025 年 12 月以来思科邮件网关产品线上第三个被用于获取 root 的漏洞。这个格局并不是思科一家的故事。邮件网关是为降低暴露而采购的，却被摆在必须接收陌生人敌意输入的位置，以 root 身份运行，并且按网络设备而非应用程序的节奏打补丁。给它加上附件检查并不改变这道算式——只是把被检查的那个面扩大了。

已经应用 9 月 AsyncOS 更新的组织，很可能本就安全。仍在暴露中的，是内容扫描器从未动过的那些。确认自己属于哪一类，只需要一条命令。

Sources: Cisco Security Advisory cisco-sa-esa-afw-zqYJkjxp · SecurityWeek: Cisco Warns of Exploited Secure Email Gateway Vulnerability · CSO Online: Cisco warns of actively exploited Secure Email Gateway flaw · Help Net Security: CISA flags exploited flaws in Palo Alto, Cisco and Ahsay products · Security Affairs: Cisco urges customers to patch email gateway flaw and check for compromise · CISA Known Exploited Vulnerabilities Catalog