Cisco Rilis Patch untuk Zero-Day Secure Email Gateway yang Aktif Dieksploitasi

Cisco memperingatkan pelanggan untuk segera memasang patch terhadap zero-day kritis pada Cisco Secure Email Gateway (SEG) yang telah dieksploitasi oleh threat actor dalam serangan nyata.

Kerentanan tersebut dilacak sebagai CVE-2026-76461 dan ditemukan pada mekanisme email parsing di Cisco AsyncOS Software untuk Secure Email Gateway. Kerentanan memengaruhi appliance virtual maupun fisik, terlepas dari konfigurasi perangkat yang digunakan.

Eksploitasi yang berhasil memungkinkan attacker remote tanpa autentikasi menjalankan arbitrary command dengan root privileges pada sistem operasi yang mendasari appliance.

CVE-2026-76461 Memungkinkan Remote Command Execution sebagai Root

Menurut Cisco, vulnerability tersebut disebabkan oleh insufficient validation pada email parsing logic.

Attacker dapat mengeksploitasinya dengan mengirimkan email yang telah dimanipulasi dan berisi malicious SQL statements melalui perangkat Secure Email Gateway yang rentan.

Jika eksploitasi berhasil, attacker dapat menjalankan arbitrary SQL statements. Kondisi tersebut pada akhirnya dapat digunakan untuk memperoleh command execution dengan hak akses root pada operating system yang mendasari appliance.

Karena serangan dapat dilakukan dari jarak jauh tanpa memerlukan autentikasi, perangkat SEG yang dapat menerima email dari sumber eksternal menjadi target yang perlu mendapatkan perhatian khusus.

Cisco Mengonfirmasi Eksploitasi Aktif

Cisco PSIRT menyatakan bahwa mereka mengetahui adanya active exploitation terhadap vulnerability tersebut pada September 2026.

Status ini membuat CVE-2026-76461 berbeda dari vulnerability biasa yang baru ditemukan dan belum diketahui digunakan dalam serangan. Cisco secara khusus meminta pelanggan untuk melakukan pembaruan guna mengatasi vulnerability tersebut.

Administrator juga disarankan melakukan pemeriksaan terhadap sistem untuk mengetahui apakah appliance mereka sebelumnya telah menjadi target eksploitasi.

Periksa Mail Log untuk SQL Mencurigakan

Cisco telah menyediakan indicators of compromise (IoC) dan merekomendasikan network defender mencari SQL statement mencurigakan pada mail_logs di setiap perangkat dalam cluster.

Pemeriksaan tidak sebaiknya hanya dilakukan terhadap mail log. Administrator juga perlu melakukan cross-check terhadap network dan firewall logs untuk mencari aktivitas yang tidak biasa.

Aktivitas yang perlu diperhatikan antara lain koneksi, upload, maupun download yang melibatkan IP eksternal atau IP berbahaya.

Pemeriksaan tambahan ini penting karena attacker dapat mencoba menghapus atau memodifikasi bukti eksploitasi dari sistem yang telah berhasil mereka akses.

Lebih dari 400 Appliance Terpantau Online

Menurut pemantauan Shadowserver, saat ini terdapat lebih dari 400 Cisco Secure Email Gateway appliance yang dapat terdeteksi dari internet.

Namun, data tersebut tidak menunjukkan berapa banyak perangkat yang merupakan honeypot atau perangkat yang telah diamankan melalui patch terbaru. Karena itu, angka tersebut tidak dapat digunakan untuk menentukan jumlah appliance yang benar-benar rentan.

Meski demikian, keberadaan ratusan appliance yang dapat terlihat dari internet menunjukkan bahwa permukaan serangan terhadap produk tersebut masih cukup luas.

CISA Masukkan CVE-2026-76461 ke KEV

Cybersecurity and Infrastructure Security Agency (CISA) Amerika Serikat juga telah memasukkan CVE-2026-76461 ke dalam Known Exploited Vulnerabilities (KEV) Catalog pada 14 September 2026.

Untuk lembaga federal Amerika Serikat, CISA menetapkan tenggat 17 September 2026 untuk melakukan remediasi terhadap vulnerability tersebut.

Masuknya vulnerability ke katalog KEV menjadi indikator bahwa CVE tersebut telah memiliki bukti eksploitasi di dunia nyata dan perlu mendapatkan prioritas dalam proses patching.

Empat Vulnerability Kritis Lain Juga Diperbaiki

Pada hari yang sama, Cisco juga memperbaiki empat vulnerability kritis lainnya yang memengaruhi Secure Email Gateway (SEG) dan Secure Email and Web Manager (SEWM).

Keempat vulnerability tersebut adalah:

• CVE-2026-76440
• CVE-2026-76441
• CVE-2026-20353
• CVE-2026-76443

Cisco menyatakan belum menemukan bukti bahwa keempat vulnerability tersebut telah dieksploitasi dalam serangan di dunia nyata.

Meskipun demikian, administrator SEG dan SEWM tetap perlu memasang update yang tersedia karena seluruh vulnerability tersebut memengaruhi appliance terlepas dari konfigurasi yang digunakan.

Bukan Pertama Kalinya AsyncOS Dieksploitasi sebagai Zero-Day

Cisco sebelumnya juga menghadapi masalah serupa pada CVE-2025-20393, vulnerability dengan tingkat keparahan maksimum pada Cisco AsyncOS yang digunakan oleh SEG dan SEWM.

Vulnerability tersebut telah dieksploitasi dalam serangan zero-day sejak November 2025 sebelum akhirnya diperbaiki Cisco pada Januari 2026.

Riwayat tersebut menunjukkan bahwa appliance keamanan dan email gateway Cisco menjadi target yang menarik bagi attacker karena perangkat tersebut berada pada posisi strategis dalam infrastruktur jaringan organisasi.

Cisco juga baru-baru ini mengungkap bahwa sejumlah kelompok ransomware dan threat actor yang didukung negara telah mengeksploitasi dua vulnerability pada Secure Firewall Management Center (FMC).

Administrator Cisco Perlu Segera Memeriksa Appliance

Bagi organisasi yang menggunakan Cisco Secure Email Gateway, langkah utama yang perlu dilakukan adalah memastikan appliance telah menjalankan software yang telah diperbaiki Cisco untuk CVE-2026-76461.

Administrator juga sebaiknya memeriksa mail_logs, network logs, dan firewall logs untuk mencari indikasi eksploitasi, terutama jika perangkat pernah terekspos ke jaringan eksternal.

Jika ditemukan indikasi kompromi, organisasi perlu memperlakukan perangkat tersebut sebagai bagian dari incident response dan melakukan pemeriksaan lebih lanjut terhadap aktivitas yang terjadi setelah akses tidak sah diperoleh.

Kasus CVE-2026-76461 juga menjadi pengingat bahwa perangkat keamanan seperti email gateway tidak boleh dianggap aman hanya karena berada di dalam perimeter organisasi. Karena perangkat tersebut secara langsung menangani trafik dari luar, vulnerability pada komponen parsing dapat memberikan jalur masuk bagi attacker ke sistem dengan hak akses tinggi.

Sumber: Cisco