• Cisco a publié des versions logicielles corrigées pour CVE-2026-76461, une vulnérabilité critique de Secure Email Gateway qui, selon l’entreprise, fait l’objet d’une exploitation active
  • L’installation de la mise à jour corrige la faille connue, mais les organisations disposant d’équipements exposés doivent encore déterminer si une compromission a eu lieu auparavant

Les faits

Cisco a publié des correctifs pour une vulnérabilité activement exploitée dans Secure Email Gateway, son équipement d’inspection des courriels entrants. La faille, répertoriée sous la référence CVE-2026-76461, touche les équipements physiques et virtuels et peut être déclenchée à distance au moyen d’un courriel spécialement conçu. Cisco indique que la vulnérabilité ne nécessite aucune authentification et qu’elle est présente quelle que soit la configuration de l’équipement. L’entreprise a publié des versions logicielles corrigées et précise qu’aucune mesure de contournement ne permet de résoudre le problème.

Cisco a également mis à niveau les équipements utilisés pour son service hébergé Secure Email Cloud. Les clients dont les systèmes présentaient des signes d’une possible compromission ont été contactés séparément pour les opérations de reprise. Une version distincte de renforcement publiée en septembre corrige d’autres faiblesses dans plusieurs produits de messagerie Cisco, les versions corrigées variant selon le produit.

L’analyse

Le correctif ferme le vecteur d’attaque connu, mais ne permet pas de savoir si celui-ci a été utilisé avant la mise à jour. Il reste donc deux tâches. L’équipe de messagerie doit faire passer l’équipement à une version corrigée sans perturber inutilement la messagerie, tandis que l’équipe de sécurité doit examiner rétrospectivement les alertes, les journaux et les autres éléments à la recherche de signes d’accès.

Ces deux tâches ne doivent pas être réduites à un seul statut « corrigé ». Redémarrer, remplacer ou réinitialiser un équipement peut rétablir un service fiable, mais agir trop vite peut aussi supprimer des informations nécessaires pour comprendre une intrusion antérieure. Les journaux conservés hors de la passerelle sont particulièrement utiles, car ils peuvent rester disponibles malgré les modifications apportées pendant la reprise.

Pour les lecteurs de BTW, une passerelle corrigée ne doit pas être automatiquement considérée comme saine. Corriger la vulnérabilité traite le risque d’exploitation future; clore l’incident exige suffisamment d’éléments pour déterminer si un accès à l’équipement a eu lieu auparavant et, le cas échéant, quels identifiants, configurations ou systèmes connectés doivent eux aussi faire l’objet d’une remédiation.

À surveiller

Il faudra vérifier si les organisations parviennent à associer chaque équipement Secure Email Gateway à la version corrigée appropriée et à conserver suffisamment de journaux historiques pour enquêter sur les activités antérieures. Les notifications adressées par Cisco à certains clients concernant une possible compromission compteront également: elles distinguent l’application de correctifs de routine des cas où un travail de reprise est nécessaire après la détection d’éléments indiquant une possible intrusion.