一封带附件的邮件，就能 root 接管你的邮件网关

Cisco 10月14日披露：安全邮件网关（SEG）零日漏洞 CVE-2026-76519 已遭在野利用。攻击者只需向受影响设备发送一封带恶意附件的邮件，就能在底层操作系统写入任意文件、以 root 权限执行命令。

先说结论

1漏洞位于高级恶意软件防护（AMP）功能，根因是启用文件信誉服务时对邮件附件处理存在路径遍历缺陷。

2利用无需身份认证：一封经过构造的邮件即可，邮件网关本身就是攻击入口。

3官方无临时缓解措施，升级是唯一手段；Content Scanner Tools 需升到 25.3.0.5525 或更高。

4边界设备零日已进入"周更"节奏，季度补丁窗口追不上攻击节奏。

一、漏洞是什么

CVE.org 对 CVE-2026-76519 的描述：在 Cisco Secure Email Gateway 的 AMP 功能中，启用文件信誉服务时对邮件附件处理不当，未经身份认证的远程攻击者可向底层操作系统写入任意文件，成功利用后以 root 权限执行命令，CVSS 评分 9.8。

二、攻击链：一封邮件怎么变成 root 会话

整个过程没有任何身份验证环节。邮件网关本来替全公司挡邮件，这一次它自己成了入口。设备被接管后，攻击者能读到流经网关的全部邮件流量，进而获取内部通信、凭据和业务数据。

三、为什么邮件网关先被打穿

邮件网关是"信任边界上的盲区"：它要替企业判断每一封外部邮件是否有害，就必须主动打开、解析外部附件。这种"必须接触不可信内容"的工作方式，让它天然站在攻击面最前沿。

四、处置清单

1立即升级 Content Scanner Tools

在 AsyncOS CLI 运行 contentscannerstatus 查看版本；低于 25.3.0.5525 时运行 contentscannerupdate，官方说明升级无需重启。

2设备固件一并升级

设备本身升级到 15.5.5-014 或 16.5.0-780 或更高版本。

3

逐节点排查日志

对集群内每个成员检查附件处理相关日志，确认是否有异常附件投递记录。

4收敛管理面访问

按厂商建议限制对设备的互联网访问，把管理口放在受控运维网段。

五、塞讯能做什么

这类事件暴露的缺口是：边界设备常年不变，防护假设却从未被验证过一次。塞讯产品体系对应如下。

攻防验证

CyriBAS 以"验证大脑+攻防机器人"全真复刻攻击链，核验邮件网关、VPN、防火墙等边界设备是否真能挡住已知攻击手法。

情报匹配

CyriIntel 聚合 30+ 全球情报来源，追踪 1000+ APT 组织与勒索团伙，IOC 持续入库匹配。

季度补丁追不上周更零日，唯一可控的是：提前验证边界设备的真实防护水平，别等在野利用发生才开始排查。

参考来源

[1] Cisco Security Advisory《Cisco Secure Email Gateway Arbitrary File Write Vulnerability》，2026-10-14
[2] CVE.org《CVE-2026-76519》