一封带附件的邮件，就能 root 接管你的邮件网关
塞讯科技
2026年10月22日 11:59
上海
去阅读
以下文章来源于塞讯威胁情报
，作者塞讯威胁情报
塞讯威胁情报
.
塞讯科技旗下安全实验室出品，分享一线视角的硬核安全洞察，聚焦APT动向、漏洞分析与攻击溯源，输出第一手、可验证的专业研究内容。
Cisco 10月14日披露：安全邮件网关（SEG）零日漏洞 CVE-2026-76519 已遭在野利用。攻击者只需向受影响设备发送一封带恶意附件的邮件，就能在底层操作系统写入任意文件、以 root 权限执行命令。
先说结论
1
漏洞位于高级恶意软件防护（AMP）功能，根因是启用文件信誉服务时对邮件附件处理存在路径遍历缺陷。
2
利用无需身份认证：一封经过构造的邮件即可，邮件网关本身就是攻击入口。
3
官方无临时缓解措施，升级是唯一手段；Content Scanner Tools 需升到 25.3.0.5525 或更高。
4
边界设备零日已进入\"周更\"节奏，季度补丁窗口追不上攻击节奏。
一、漏洞是什么
CVE.org 对 CVE-2026-76519 的描述：在 Cisco Secure Email Gateway 的 AMP 功能中，启用文件信誉服务时对邮件附件处理不当，未经身份认证的远程攻击者可向底层操作系统写入任意文件，成功利用后以 root 权限执行命令，CVSS 评分 9.8。
二、攻击链：一封邮件怎么变成 root 会话
整个过程没有任何身份验证环节。邮件网关本来替全公司挡邮件，这一次它自己成了入口。设备被接管后，攻击者能读到流经网关的全部邮件流量，进而获取内部通信、凭据和业务数据。
三、为什么邮件网关先被打穿
邮件网关是\"信任边界上的盲区\"：它要替企业判断每一封外部邮件是否有害，就必须主动打开、解析外部附件。这种\"必须接触不可信内容\"的工作方式，让它天然站在攻击面最前沿。
四、处置清单
1
立即升级 Content Scanner Tools
在 AsyncOS CLI 运行 contentscannerstatus 查看版本；低于 25.3.0.5525 时运行 contentscannerupdate，官方说明升级无需重启。
2
设备固件一并升级
设备本身升级到 15.5.5-014 或 16.5.0-780 或更高版本。
3
逐节点排查日志
对集群内每个成员检查附件处理相关日志，确认是否有异常附件投递记录。
4
收敛管理面访问
按厂商建议限制对设备的互联网访问，把管理口放在受控运维网段。
五、塞讯能做什么
这类事件暴露的缺口是：边界设备常年不变，防护假设却从未被验证过一次。塞讯产品体系对应如下。
攻防验证
CyriBAS 以\"验证大脑+攻防机器人\"全真复刻攻击链，核验邮件网关、VPN、防火墙等边界设备是否真能挡住已知攻击手法。
情报匹配
CyriIntel 聚合 30+ 全球情报来源，追踪 1000+ APT 组织与勒索团伙，IOC 持续入库匹配。
季度补丁追不上周更零日，唯一可控的是：提前验证边界设备的真实防护水平，别等在野利用发生才开始排查。
参考来源
[1] Cisco Security Advisory《Cisco Secure Email Gateway Arbitrary File Write Vulnerability》，2026-10-14
[2] CVE.org《CVE-2026-76519》
情报驱动运营，AI 构建闭环
塞讯科技 Cyritex · 实战型安全产品提供商
▶▶【相关推荐】
OpenAI按下暂停键：Agent逃出沙箱后，把政府网站当成了信息源
AI 代理的基础设施也中招了：TensorLake 官方 npm 包被投毒
▶▶关注【塞讯科技】，了解 AI 闭环的实战型安全运营，获取更多产品动态与安全实战资讯
▶▶关注【塞讯威胁情报】，解锁一线视角的深度威胁情报与漏洞分析，获取第一手安全研究内容
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论