Cisco baru saja menambal satu lagi celah zero-day di Secure Email Gateway (SEG) yang sudah dipakai penyerang di lapangan — dan celah ini kelas berat. Skornya 9,8 dari 10 (CVSS), dan untuk memanfaatkannya penyerang cukup mengirim satu email berlampiran yang dibuat khusus ke perangkat yang belum dipatch.
Kerentanannya tercatat sebagai CVE-2026-76519. Menurut advisory Cisco, akar masalahnya ada di fitur Advanced Malware Protection (AMP) — tepatnya cara SEG menangani lampiran email. Jenis celahnya relative path traversal (CWE-23): penyerang remot yang tidak perlu autentikasi bisa menulis file di sembarang lokasi pada sistem operasi perangkat. Dari titik itu, jalan menuju eksekusi kode dengan hak akses root terbuka lebar.
“Eksploitasi yang berhasil bisa membuat penyerang menulis file sembarang dan menjalankan perintah dengan hak istimewa root pada sistem operasi yang mendasarinya,” tulis Cisco di advisorynya. Perusahaan itu mengaku mulai mengetahui adanya eksploitasi aktif pada Oktober 2026.
Email masuk, akses root keluar
Yang membuat celah ini berbahaya bukan cuma skornya. SEG adalah perangkat yang tugasnya memang membuka dan membaca email dari luar, jadi jalur serangannya bukan pintu yang perlu dibuka sendiri oleh korban. Lampiran email diproses mesin, lalu berubah jadi akses root ke sistem operasi. Artinya penyerang bisa melakukan hampir apa saja di perangkat itu: menanam backdoor, membaca isi surat yang lewat, atau mencuri kredensial.
The Register melaporkan juru bicara Cisco menyebut kerentanan ini hanya berdampak pada “sebagian kecil pelanggan”. Angkanya memang tidak besar-besar amat, tetapi Shadowserver — organisasi yang memantau perangkat yang nongol di internet — mencatat ada hampir 300 instance Cisco Secure Email Gateway yang terekspos online. Berapa di antaranya sudah dipatch, berapa yang honeypot, dan berapa yang masih terbuka, tidak ada yang tahu pasti.
Siapa yang perlu cek perangkatnya sendiri
Tidak semua SEG otomatis rentan. Ada dua syarat yang harus terpenuhi bersamaan:
- Layanan File Reputation (bagian dari Cisco AMP) aktif dan ditempelkan ke salah satu mail policy.
- Versi Content Scanner Tools masih lebih lama dari 25.3.0.5525.
Untuk memeriksanya, admin bisa memakai perintah CLI contentscannerstatus guna melihat versi Content Scanner Tools yang berjalan, lalu mengecek centang “Enable File Reputation” di menu Mail Policies > Incoming Mail Policies > Advanced Malware Protection, atau jalur Outgoing Mail Policies. Perbaikannya adalah naik ke rilis AsyncOS yang sudah ditambal. Cisco menyarankan pelanggan yang masih berjalan di rilis lebih lama dari v16.5 pindah ke 16.5.0-780. Sayangnya tidak ada workaround — jalannya memang harus upgrade.
CISA beri tenggat 17 Oktober
Badan keamanan siber Amerika Serikat, CISA, sudah memasukkan CVE-2026-76519 ke katalog Known Exploited Vulnerabilities (KEV) pada 14 Oktober 2026. Instansi federal di sana wajib menambalnya paling lambat 17 Oktober 2026 — hanya tiga hari. Entri KEV itu juga menandai forensicTriage: Yes, artinya agensi didorong melakukan triage forensik, karena perangkat yang sudah ditembus bisa saja masih menyimpan jejak serangan.
SEG jadi langganan serangan
Ini bukan insiden pertama, dan polanya berulang. Bulan lalu Cisco juga memperingatkan celah SEG lain yang sudah dieksploitasi, CVE-2026-76461 — celah SQL injection yang juga berujung akses root. Perlu ditegaskan: itu kerentanan yang berbeda dari yang sekarang sedang dibahas, dan sudah masuk KEV sejak September. Awal Januari 2026, penyerang memakai celah AsyncOS lain (CVE-2025-20393) untuk masuk dan menanam mekanisme persistensi. Sejak November 2021, CISA sudah memasukkan 100 kerentanan Cisco ke katalognya, tujuh di antaranya pernah dipakai dalam serangan ransomware.
Untuk pelanggan layanan awan, Cisco mengaku sudah memasang mitigasi di instance cloud-nya dan menghubungi pemilik perangkat Cisco Secure Email Cloud yang ditemukan berpotensi terdampak.
Langkah praktis untuk tim IT
- Cek versi. Jalankan contentscannerstatus dan pastikan Content Scanner Tools sudah ≥25.3.0.5525. Pastikan juga File Reputation benar-benar aktif dan menempel ke mail policy.
- Pasang patch. Upgrade ke rilis AsyncOS yang diperbaiki — 16.5.0-780 untuk yang masih di bawah v16.5. Tanpa workaround, jadi jangan ditunda.
- Putar ulang kredensial. Kalau perangkat pernah berpotensi terdampak, ganti kredensial dan materi kriptografi yang tersimpan di appliance (akun admin, sertifikat, kunci), lalu perketat akses ke perangkat.
- Periksa jejak. Cari pesan log seperti “System Security: Suspected compromise indicator was found.” atau “Security scan did not complete.” Jangan berhenti di situ: sisir log firewall dan jaringan untuk aktivitas unduh/unggah ke alamat IP eksternal yang mencurigakan, karena penyerang dengan akses root biasanya menghapus jejaknya. Kalau ada indikasi kompromi, hubungi Cisco TAC.
Sumber
- Cisco Security Advisory — Cisco Secure Email Gateway Relative Path Traversal (CVE-2026-76519)
- CISA — Known Exploited Vulnerabilities (KEV) Catalog
- NVD — CVE-2026-76519
- BleepingComputer — Cisco patches new Secure Email Gateway zero-day exploited in attacks
- The Register — Cisco make-me-root email bug exploited as a 0-day by unknown crims
