Cisco Email Gateway : deuxième faille zero-day donnant un accès root en un mois, ce que les équipes sécurité doivent faire

YuSMP Group Editorial Team Équipe éditoriale, YuSMP Group

L'essentiel

Qu'a publié Cisco ?

L'avis de Cisco décrit une traversée de répertoire dans la fonction Advanced Malware Protection (AMP) de Secure Email Gateway, l'équipement autrefois appelé Email Security Appliance. Lorsqu'elle traite une pièce jointe, la passerelle ne restreint pas correctement les chemins de fichiers : un fichier piégé peut donc être écrit hors du répertoire prévu. Selon Cisco, une attaque réussie permet d'écrire des fichiers arbitraires et d'exécuter des commandes avec les droits root sur le système d'exploitation sous-jacent.

Ni identifiant ni clic de l'utilisateur ne sont nécessaires : il suffit à l'attaquant de faire parvenir un message à la passerelle, ce qui est précisément sa raison d'être. Le PSIRT de Cisco indique avoir eu connaissance d'une exploitation active en octobre 2026 et qu'un nombre limité de clients est touché. Il n'a ni nommé les attaquants ni décrit ce qu'ils ont fait une fois dans la place.

Qui est exposé ?

Les passerelles physiques comme virtuelles sont concernées, mais seulement si deux paramètres coïncident. Le service File Reputation doit être activé et affecté à une politique de messagerie, et le composant Content Scanner Tools doit être antérieur à 25.3.0.5525. Les administrateurs peuvent lire la version du composant avec la commande CLI contentscannerstatus et vérifier la case « Enable File Reputation » sous Mail Policies > Advanced Malware Protection.

Selon Cisco, le correctif se trouve dans Content Scanner Tools 25.3.0.5525 et versions ultérieures, et la mise à jour de ce composant ne demande ni redémarrage ni mise à niveau complète d'AsyncOS. Pour les équipes qui préfèrent une version complète, Cisco indique AsyncOS 15.5.5-014 et 16.5.0-780 comme premières versions corrigées ; les clients en 16.0 doivent migrer. Cisco a déjà sécurisé lui-même le service hébergé Secure Email Cloud Gateway et a contacté les clients chez qui il a détecté des signes de compromission.

Pourquoi la passerelle e-mail est-elle sans cesse visée ?

C'est la deuxième faille zero-day root sans authentification dans la même famille de produits en un mois environ. En septembre, Cisco a corrigé CVE-2026-76461, une faille dans l'analyse des e-mails par AsyncOS, et en janvier CVE-2025-20393, un bug AsyncOS de gravité maximale que des attaquants ont utilisé pour s'installer durablement. Le nouveau bug se situe ailleurs – dans la chaîne d'analyse antimalware –, si bien que le correctif de septembre n'y change rien.

Du point de vue d'un attaquant, la logique est claire. Une passerelle de messagerie reçoit des données non fiables de tout Internet, décompresse et analyse des formats de fichiers complexes, tourne sur un équipement rarement doté d'un EDR et se trouve au cœur de flux de messagerie sensibles. La fonction même qui inspecte les pièces jointes dangereuses devient la surface d'attaque. Selon The Register, la CISA a ajouté 100 vulnérabilités Cisco au catalogue KEV depuis novembre 2021.

Ce que cela change pour les équipes aux États-Unis et dans l'UE

Un accès root sur une passerelle de messagerie, c'est potentiellement l'accès à tout ce qui y transite : factures, contrats, liens de réinitialisation de mot de passe, échanges avec les clients. Pour les entreprises soumises au RGPD, à NIS2 ou à DORA, une passerelle exploitée est un possible incident de données personnelles, et le délai de notification court dès que vous en avez connaissance. Les équipes ont besoin de preuves, pas seulement d'un numéro de version corrigé : le contrôle des journaux proposé par Cisco, plus les traces du pare-feu et du proxy montrant des envois ou téléchargements inhabituels depuis l'équipement.

Deuxième leçon : les processus de correctifs. Beaucoup d'organisations ne patchent leurs équipements que lors des fenêtres de maintenance du firmware complet. Ici, le correctif est un composant du scanner mis à jour séparément ; une équipe qui ne suit que la version d'AsyncOS peut passer à côté. L'inventaire des équipements de sécurité en bordure doit recenser les sous-composants et les moteurs de signatures, pas seulement la version du système.

Enfin, deux failles root en un mois justifient de réduire le rayon d'impact. Restreindre les connexions sortantes de la passerelle, tenir son interface d'administration hors d'Internet et la segmenter des systèmes internes transforme la prochaine faille zero-day en incident maîtrisé plutôt qu'en intrusion.

Quelles conséquences pour les entreprises françaises ?

En France, beaucoup d'ETI, d'établissements de santé et de collectivités exploitent encore leur passerelle de messagerie sur site plutôt qu'en service cloud. Ce sont précisément ces équipements que l'équipe interne ou l'infogéreur doit mettre à jour : la protection que Cisco a déjà appliquée à son service hébergé ne s'étend pas aux boîtiers installés chez le client. Si vous confiez la messagerie à une ESN ou à un infogéreur, demandez-lui une confirmation écrite de la version de Content Scanner Tools et du résultat du contrôle de compromission. Suivez également les avis et alertes du CERT-FR de l'ANSSI concernant les produits Cisco.

Sur le plan juridique, si la passerelle donnait accès à des données personnelles, l'article 33 du RGPD impose en règle générale de notifier la violation à la CNIL dans les 72 heures. Les banques et assureurs soumis à DORA doivent par ailleurs déclarer les incidents majeurs liés aux TIC à leur autorité de supervision, l'ACPR pour l'essentiel. Documentez dès le premier jour la vérification de version, le contrôle de compromission et votre décision de notifier ou non : c'est ce que demandera l'autorité.

À faire cette semaine

1. Vérifier l'exposition. Lancez contentscannerstatus sur chaque passerelle et vérifiez si File Reputation est activé dans une politique de messagerie.
2. Mettre à jour le scanner. Passez Content Scanner Tools en 25.3.0.5525 ou version ultérieure (sans redémarrage), ou migrez vers AsyncOS 15.5.5-014 / 16.5.0-780.
3. Lancer le contrôle de compromission. Utilisez grep "System Security" system_logs comme le recommande Cisco ; si un indicateur de compromission apparaît, suivez l'avis, et si l'analyse n'a pas abouti, ouvrez un dossier TAC.
4. Regarder au-delà de l'équipement. Examinez les journaux du pare-feu et du réseau depuis début octobre à la recherche de trafic inhabituel vers et depuis la passerelle, car un attaquant root peut effacer les traces locales.
5. Renouveler et confiner. En cas de suspicion de compromission, renouvelez les identifiants d'administration et d'intégration de la passerelle et limitez ses accès sortants.

Questions fréquentes

Sources

Cisco — Cisco Secure Email Gateway Arbitrary File Write Vulnerability, cisco-sa-esa-afw-zqYJkjxp (October 14, 2026)
BleepingComputer — Cisco patches new Secure Email Gateway zero-day exploited in attacks (October 14, 2026)
The Register — Cisco make-me-root email bug exploited as a 0-day by unknown crims (October 14, 2026)